Das Wichtigste in Kürze
- WordPress 7.0.1 (9. Juli) ist ein reines Bug-Fix-Release, es schließt keine der akuten Plugin-Lücken.
- Drei kritische Plugin-CVEs (CVSS bis 9.8) betreffen diese Woche viele KMU-Seiten.
- Kern-Update und Plugin-Updates sind zwei getrennte Baustellen, beide gehören diese Woche geprüft.
- Ohne festen Wartungspartner: konkrete Sofort-Checkliste im Beitrag.
Am Donnerstag, 9. Juli 2026, veröffentlicht WordPress die Version 7.0.1. Der Release-Candidate steht seit dem 1. Juli bereit. Wir haben ihn in unserer Staging-Umgebung installiert und die Änderungsliste durchgesehen. Kurz: 7.0.1 ist ein reines Bug-Fix-Release. Es bringt keine sicherheitsrelevanten Patches mit.
Das ist wichtig zu verstehen. Denn parallel dazu wurden in der ersten Juliwoche drei kritische Plugin-Lücken veröffentlicht, die deutlich brisanter sind als das Core-Update selbst. Wer nur 7.0.1 installiert und den Rest ignoriert, hat weniger als die halbe Arbeit gemacht.
Was WordPress 7.0.1 tatsächlich fixt
Der Release-Plan der Core-Entwickler ist öffentlich einsehbar. 7.0.1 sammelt Regressionen aus dem 7.0-Zyklus. Das sind Fehler, die durch die Umstellung auf Armstrong entstanden sind. Kein einziger Ticket-Eintrag ist als Sicherheitslücke markiert.
Beispiele aus der Liste:
- Fehlendes aria-label am Lightbox-Button für Einzelbilder
- Navigation: Wiederherstellung einer als deprecated markierten Fallback-Funktion
- Editor: Fokus-Sprung beim Wechsel in den Revisionen-Modus
- Behebung eines schwarzen Aufblitzens im Admin vor der Hydration
Nützliche Aufräumarbeit. Aber kein Grund, in Panik ein Notfall-Fenster zu öffnen. Wer WordPress 7.0 stabil betreibt, kann 7.0.1 im regulären Wartungsfenster einspielen. Wir empfehlen: erst Staging, dann Produktiv, zwischen beiden Schritten ein Backup.
Für Websites, die noch auf 6.x laufen und den 7.0-Sprung bisher aufgeschoben haben, ändert 7.0.1 nichts an der Ausgangslage. Der PHP-7.4-Mindeststandard bleibt bestehen. Wer PHP 7.3 oder älter fährt, kann nicht auf 7.x aktualisieren.
Die drei Plugin-Lücken, die diese Woche wirklich zählen
Während viele Betreiber auf das Core-Update schauen, hat Patchstack in den letzten Tagen drei Schwachstellen veröffentlicht, die Websites direkt übernehmbar machen. Alle drei sind bereits patchbar.
1. Novalnet Payment Gateway for WooCommerce (CVSS 9.8)
Am 2. Juli 2026 hat Patchstack die Lücke CVE-2026-57677 im Novalnet-Payment-Plugin für WooCommerce veröffentlicht. Betroffen sind alle Versionen bis einschließlich 12.10.3. Die Schwachstelle ermöglicht Angreifern ohne vorherige Anmeldung, den kompletten Shop zu übernehmen.
Novalnet ist im DACH-Raum weit verbreitet. Der Zahlungsdienstleister sitzt in München und wickelt Bezahlvorgänge für tausende WooCommerce-Shops ab. Wer das Plugin einsetzt, muss sofort auf die aktuelle Version aktualisieren. Bei kompromittierten Shops geht es nicht nur um Datenverlust. Es geht um Transaktionsmanipulation und Umleitung von Kundenzahlungen.
Prüfschritt für Betreiber: Unter Plugins nach „Novalnet“ suchen, Version ablesen, bei 12.10.3 oder älter sofort updaten. Wenn das Plugin aktiv ist, den Zeitraum seit dem 2. Juli auch in den Server-Logs prüfen. Ungewöhnliche POST-Requests an das Checkout-Endpoint sind ein Warnzeichen.
2. UpdraftPlus (aktiv ausgenutzt)
CVE-2026-10795 betrifft das Backup-Plugin UpdraftPlus in Versionen bis 1.26.4. Die Lücke wird bereits aktiv ausgenutzt. Version 1.26.5 schließt sie. UpdraftPlus läuft auf schätzungsweise 3 Millionen WordPress-Sites weltweit.
Aktive Ausnutzung heißt: Es gibt bekannte Angriffe im Umlauf. Nicht theoretisch, sondern real. Wer UpdraftPlus in einer verwundbaren Version fährt, hat mit hoher Wahrscheinlichkeit bereits Kompromittierungsversuche in den Logs. Ein Update im nächsten Monat reicht nicht. Wir empfehlen den Patch innerhalb von 24 Stunden.
Zusatzcheck: Wenn UpdraftPlus einen Cloud-Speicher als Backup-Ziel verwendet (Google Drive, Dropbox, S3), auch die Zugriffslogs des Cloud-Kontos prüfen. Ein kompromittiertes Backup-Plugin ist der direkteste Weg zum vollständigen Datenklau.
3. WP-BusinessDirectory (CVSS 9.1)
CVE-2026-6070 im Plugin WP-BusinessDirectory in Version 4.0.1 und älter erlaubt es Angreifern ohne Login, beliebige Dateien auf dem Server zu löschen. Der Public-Exploit ist verfügbar. Betroffen ist der Endpoint task=upload.remove mit einem unzureichend geschützten _filename-Parameter.
Was das praktisch bedeutet: Ein Angreifer kann die zentrale Konfigurationsdatei wp-config.php löschen und die Website damit unbrauchbar machen. Oder gezielt Bilder, PDFs und Rechnungen aus dem Upload-Ordner entfernen. Das ist kein Datenklau, sondern gezielte Sabotage.
Wer das Plugin einsetzt, muss aktualisieren. Wenn kein Update verfügbar ist, das Plugin deaktivieren, bis der Hersteller nachliefert.
Warum das Muster jedes Quartal zurückkommt
Wir sehen das Bild inzwischen regelmäßig. Ein kleines Core-Update, das viel Aufmerksamkeit bekommt. Gleichzeitig laufen im Plugin-Ökosystem drei bis fünf kritische Lücken, die im Alltag durchrutschen. Der Grund liegt in der Verteilung:
- Core-Updates kommen von einem zentralen Team mit Release-Zyklus und Presse-Aufmerksamkeit
- Plugin-Updates verteilen sich auf über 60.000 Autoren und werden nur von Sicherheits-Newslettern verfolgt
- Viele KMU-Betreiber schalten Auto-Updates für Plugins bewusst ab, um Kompatibilitätsprobleme zu vermeiden
Die Konsequenz: Der Core ist meist aktuell. Die Plugins sind es nicht. Genau da setzen Angreifer an. Der Patchstack Vulnerability Report weist Plugins seit Jahren als Hauptangriffsvektor aus.
Wir empfehlen unseren Mandanten seit Anfang 2026 einen festen Freitag-Slot für Plugin-Reviews. Dauer: 45 Minuten pro Website. Inhalt: Patchstack-Feed prüfen, betroffene Plugins identifizieren, Updates im Staging testen, Freitagnachmittag ausrollen. Das ist keine Wissenschaft. Aber es fällt nur weg, wenn niemand dafür verantwortlich ist.
Was wir für Mandanten diese Woche konkret tun
Wir arbeiten diese Woche unsere aktive Mandanten-Liste durch. Der Ablauf pro Website:
- Plugin-Inventar exportieren (WP-CLI:
wp plugin list --format=json) - Gegen die aktuelle Patchstack-Datenbank prüfen (öffentlich einsehbar)
- Für jede betroffene Website: Update im Staging, Regressionstest, dann Produktion
- Nach dem 9. Juli: Core 7.0.1 im gleichen Fenster nachziehen
- Dokumentation im Wartungsprotokoll aktualisieren
Der Zeitaufwand liegt bei etwa 30 Minuten pro Website, wenn keine besonderen Vorkommnisse eintreten. Bei den drei kritischen CVEs oben addiert sich das schnell auf einen halben Tag Bereitschaft, weil Auto-Update-Konflikte oder Cache-Probleme auftreten können.
Für Betreiber ohne festen Wartungspartner
Wer sich um seine WordPress-Website selbst kümmert, kann diese Woche mit vier Schritten viel abfangen:
- Im Admin unter Plugins alle installierten Plugins gegen die aktuelle Version prüfen
- Speziell auf Novalnet, UpdraftPlus und WP-BusinessDirectory achten
- Ein Backup vor jedem Update anlegen (nicht nur einmal pro Woche)
- Nach dem Core-Update am 9. Juli einen Frontend-Check machen: Startseite, wichtigste Landingpage, Kontaktformular
Wer keine Staging-Umgebung hat, spielt Updates zu einem Zeitpunkt ein, an dem eine Rückkehr möglich ist. Freitagabend um 22 Uhr ist eine schlechte Wahl. Dienstagvormittag ist besser.
Was TYPO3-Betreiber wissen müssen
Für unsere TYPO3-Mandanten bleibt die Lage ruhig. Der letzte Security-Release war 14.3.4 am 16. Juni. Aktuell steht kein akutes Update an. Wer regelmäßig patcht, ist auf einem sauberen Stand.
Der strukturelle Unterschied zwischen den beiden Systemen zeigt sich in Wochen wie dieser deutlich. TYPO3 verlagert weniger Funktionalität in externe Extensions, dokumentiert Security-Bulletins zentral über das TYPO3 Security Team und veröffentlicht sie über einen einheitlichen Kanal. Das reduziert die Update-Frequenz für Betreiber, ohne die Sicherheit zu senken.
Fazit
WordPress 7.0.1 am 9. Juli ist wichtig, aber nicht dringend. Die drei Plugin-Lücken der ersten Juliwoche sind dringend, aber bekommen weniger Aufmerksamkeit. Genau diese Verzerrung nutzen Angreifer aus.
Wer eine WordPress-Website betreibt, prüft diese Woche zuerst die Plugin-Liste und schließt aktive Lücken. Danach folgt das Core-Update im normalen Rhythmus. Wer sich beim Plugin-Inventar oder bei der Priorisierung unsicher ist: Wir schauen es uns gemeinsam an. Kontakt über waterproof.agency/kontakt/.
Häufige Fragen
Ist unsere Website durch die Kirki-Lücke aus Juni noch betroffen?
Die im Juni gemeldete Kirki-Schwachstelle betraf rund 150.000 Sites. Wer damals aktualisiert hat, ist auf einem sicheren Stand. Wer das Update verpasst hat, prüft im Admin unter Plugins nach „Kirki“. Betroffene Sites laufen seit Juni offen.
Reicht es, wenn mein Hoster automatische Updates macht?
Bei den meisten Hostern beziehen sich Auto-Updates nur auf den WordPress-Core, nicht auf Plugins. Plugin-Auto-Updates müssen pro Plugin einzeln aktiviert werden. Bei kritischen Plugins wie Payment-Gateways ist ein Test vor dem Update oft sinnvoller als blindes Auto-Update.
Was passiert, wenn ich UpdraftPlus nicht sofort update?
Die Lücke wird bereits aktiv ausgenutzt. Verwundbare Sites laufen ein konkretes Risiko, kompromittiert zu werden. Der Angriffsvektor betrifft das Backup-System selbst. Ein kompromittiertes Backup-Plugin kann angreiferseitig zur vollständigen Datenextraktion missbraucht werden. Update auf 1.26.5 innerhalb von 24 Stunden.
Wie erkenne ich, ob mein WooCommerce-Shop von der Novalnet-Lücke betroffen ist?
Im WordPress-Admin unter Plugins nach „Novalnet Payment Gateway for WooCommerce“ suchen. Wenn die installierte Version 12.10.3 oder älter ist, liegt eine akute Lücke vor. Update über die Plugin-Übersicht oder per WP-CLI mit wp plugin update novalnet-gateway-woocommerce.
Muss ich WordPress 7.0.1 sofort am 9. Juli installieren?
Nein. 7.0.1 ist ein Bug-Fix-Release ohne kritische Sicherheitspatches. Wir empfehlen die Installation im regulären Wartungsfenster in der Woche nach dem Release. Kritische Plugin-Updates haben diese Woche Vorrang.
Quellen
- WordPress 7.0.1 Release Candidate, Make WordPress Core, 01.07.2026. make.wordpress.org
- CVE-2026-57677 (CVSS 9.8), Novalnet Payment Gateway for WooCommerce ≤ 12.10.3, 02.07.2026. nvd.nist.gov / Patchstack
- CVE-2026-10795, UpdraftPlus ≤ 1.26.4 (aktiv ausgenutzt), Patch 1.26.5. nvd.nist.gov
- CVE-2026-6070 (CVSS 9.1), WP-BusinessDirectory ≤ 4.0.1, unauth. Arbitrary File Deletion. cert.ug