Am 17. Juli 2026 hat WordPress eine neue Sicherheitsversion veröffentlicht. WordPress 7.0.2 schliesst eine kritische und eine hochriskante Lücke im Kern. Die offizielle Empfehlung ist eindeutig: Betroffene Websites sollen sofort aktualisiert werden. Für betroffene Installationen wurden zudem erzwungene automatische Updates aktiviert.
Das ist dringlich, aber kein Grund für Alarmismus. Für ein Schweizer KMU zählt jetzt nicht die Frage, ob irgendwo ein grünes Update-Symbol erscheint. Entscheidend ist ein belegter Status: Welche Version läuft? Gibt es eine aktuelle Sicherung? Wurde die Website nach dem Update geprüft? Und ist klar, wer im Störungsfall handeln kann?
Der folgende 45-Minuten-Check liefert genau diese vier Nachweise. Er enthält keine Anleitung zum Ausnutzen der Lücken. Er konzentriert sich auf sichere Aktualisierung, Funktionsprüfung und Verantwortlichkeit.
Einordnung vom 23. Oktober 2026: Dieser Beitrag beschreibt die Sicherheitsmitteilung vom Juli 2026. Die dort genannten Versionsnummern sind kein aktueller Patchstand. Vergleiche für eine heutige Wartung immer die aktuelle WordPress-Releaseübersicht und die Hinweise der eingesetzten Erweiterungen.
Was am 17. Juli 2026 geändert wurde
Die offizielle Mitteilung nennt zwei Sicherheitsprobleme im WordPress-Kern. Eines ist als kritisch, das andere als hochriskant eingestuft. WordPress nennt folgende korrigierte Versionen:
- WordPress 7.0.2 für die aktuelle Reihe
- WordPress 6.9.5 für die Reihe 6.9
- WordPress 6.8.6 für die Reihe 6.8
Die Reihe 6.9 ist laut Mitteilung von beiden Lücken betroffen. Die Reihe 6.8 ist von einer der beiden Lücken betroffen. Versionen vor 6.8 sind gemäss der Veröffentlichung nicht betroffen. Wer eine Beta-Version von 7.1 testet, benötigt 7.1 Beta 2.
Wichtig ist die Unterscheidung zwischen Update und Nachweis. Ein automatisches Update reduziert den manuellen Aufwand. Es bestätigt aber nicht, dass Kontaktformular, Anmeldung und weitere zentrale Funktionen danach geprüft wurden. Genau diese Lücke schliesst der dokumentierte Check.
Der 45-Minuten-Plan im Überblick
Reserviere einen ungestörten Termin und bestimme eine verantwortliche Person. Der Ablauf ist bewusst knapp:
| Zeit | Prüfung | Nachweis |
|---|---|---|
| 5 Minuten | Installierte Kernversion erfassen | Version, Website, Zeitpunkt, Person |
| 10 Minuten | Sicherung kontrollieren | Datenbank, Dateien, Speicherort, Datum |
| 15 Minuten | Update und zentrale Funktionen prüfen | Update-Status und Prüfergebnis |
| 10 Minuten | Ergebnis dokumentieren | Vorher, nachher, offene Punkte |
| 5 Minuten | Notfallkontakte bestätigen | Webhoster, Zugang, Vertretung |
Die Zeitangaben sind ein Arbeitsrahmen. Bei mehreren Websites, individuellen Erweiterungen oder einem fehlerhaften Update braucht die Prüfung länger.
1. Kernversion in fünf Minuten erfassen
Öffne den Verwaltungsbereich und notiere die installierte WordPress-Version. Erfasse dabei nicht nur die Versionsnummer, sondern auch:
- vollständige Website-Adresse
- Datum und Uhrzeit der Prüfung
- Name der verantwortlichen Person
- erkannte WordPress-Reihe
- angezeigter Update-Status
Vergleiche die installierte Version mit der aktuellen Releaseübersicht und den Hinweisen zur eingesetzten Reihe. Die Versionen 7.0.2, 6.9.5 und 6.8.6 belegen nur den in der Juli-Mitteilung genannten Patchstand. Sie reichen nicht als Nachweis für eine heutige Wartung. Fehlen aktuelle Sicherheitskorrekturen, plane das Update mit Sicherung und Funktionsprüfung ein.
Ein Screenshot kann den Eintrag ergänzen. Er ersetzt aber nicht die schriftliche Zuordnung zu Website, Zeitpunkt und verantwortlicher Person.
2. Sicherung in zehn Minuten kontrollieren
Vor einem manuellen Update empfiehlt die offizielle WordPress-Anleitung eine Sicherung. Eine typische WordPress-Website besteht dabei aus zwei Teilen: der Datenbank und den Dateien. Die Datenbank enthält unter anderem Beiträge, Kommentare und Konfigurationen. Zu den Dateien gehören der Kern, Erweiterungen, Gestaltungsvorlagen und hochgeladene Medien.
Prüfe deshalb vier Punkte:
- Wann wurde die letzte Datenbanksicherung erstellt?
- Wann wurden die Website-Dateien gesichert?
- Wo liegt die Sicherung, und wer hat Zugriff?
- Ist der Wiederherstellungsweg dokumentiert?
Ein aktuelles Dateipaket ohne Datenbank ist für eine typische Wiederherstellung unvollständig. Das Gleiche gilt umgekehrt für eine reine Datenbanksicherung. Behandle beide Teile als zusammengehörigen Sicherungssatz.
Fehlt ein Teil oder ist der Speicherort unklar, halte das als offenen Punkt fest. Starte kein riskantes manuelles Vorgehen, solange kein verlässlicher Rückweg vorhanden ist.
3. Update und Funktionen in fünfzehn Minuten prüfen
WordPress kann die Sicherheitsversion automatisch installiert haben. Die Veröffentlichung weist ausdrücklich darauf hin, dass für betroffene Versionen erzwungene automatische Updates aktiviert wurden. Prüfe trotzdem die tatsächlich installierte Version.
Falls ein manuelles Update erforderlich ist, verwendest du den vorgesehenen Aktualisierungsweg im Verwaltungsbereich. Die offizielle Anleitung beschreibt dafür den Bereich für Aktualisierungen. Lade WordPress nicht aus einer unbekannten Quelle herunter.
Prüfe nach dem Update mindestens diese Funktionen:
- Startseite und eine wichtige Unterseite laden
- Kontaktformular bis vor dem Versand testen
- Anmeldung im Verwaltungsbereich prüfen
- zentrale Navigation auf Mobilgerät und Desktop öffnen
- eine geschäftskritische Funktion testen, etwa Anfrage, Termin oder Bestellung
Kontrolliere danach erneut die Kernversion. Notiere, ob das Update automatisch oder manuell erfolgte und welche Funktionen geprüft wurden.
4. Nachweis in zehn Minuten abschliessen
Ein brauchbarer Prüfvermerk ist kurz, aber eindeutig. Er enthält:
- Version vor und nach dem Update
- Zeitpunkt der letzten Sicherung
- geprüfte Seiten und Funktionen
- Ergebnis jeder Prüfung
- offene Punkte mit verantwortlicher Person
- Termin für die nächste Kontrolle
Vermeide unklare Einträge wie «Update erledigt». Besser ist: «Kernversion 7.0.2 am 20. Juli 2026 bestätigt. Startseite, Kontaktformular und Anmeldung geprüft. Keine sichtbaren Fehler. Wiederherstellungsweg beim Webhoster dokumentiert.»
So kann eine Vertretung später nachvollziehen, was tatsächlich geprüft wurde. Der Eintrag wird ausserdem zur Grundlage für den nächsten Wartungstermin.
5. Notfallkontakte in fünf Minuten bestätigen
Zum Abschluss beantworte vier Fragen:
- Wer darf beim Webhoster ein dringendes Ticket eröffnen?
- Wer besitzt den Verwaltungszugang?
- Wer kann die Sicherung zurückspielen?
- Wer entscheidet über Wartungsmodus oder vorübergehende Abschaltung?
Halte Namen, Telefonnummern und Vertretung fest. Prüfe, ob die Zugänge erreichbar sind, ohne Passwörter im Protokoll zu speichern. Wenn nur eine Person alle Schritte ausführen kann, dokumentiere mindestens eine Stellvertretung.
Was tun, wenn der Check rot bleibt?
Stoppe weitere Änderungen, wenn die Website nach dem Update Fehler zeigt oder die Sicherung unvollständig ist. Dokumentiere den letzten bekannten Zustand und kontaktiere die zuständige technische Person oder den Webhoster. Spiele keine unbekannten Pakete ein und teste keine Anleitungen aus unklaren Quellen.
Der Check ist kein Sicherheitszertifikat. Er ist eine belastbare Momentaufnahme. Er zeigt, welche Punkte geprüft sind und wo noch Handlungsbedarf besteht.
Vom Akut-Check zum Wartungsprozess
Eine einmalige Prüfung löst den akuten Fall. Ein Wartungsprozess verhindert, dass der nächste Sicherheitshinweis wieder bei null beginnt. Lege dafür einen festen Rhythmus, eine verantwortliche Person und dieselben vier Nachweise fest: Version, Sicherung, Funktionsprüfung und Notfallweg.
Wiederkehrende Kontrollen lassen sich teilweise automatisieren. Verantwortlichkeit und Freigabe bleiben trotzdem wichtig. Ein passendes Praxisbeispiel findest du im Beitrag AI-Automatisierung für KMU im Büro.
Wenn du den aktuellen Zustand gemeinsam prüfen und als nachvollziehbaren Bericht festhalten möchtest, kannst du den Website-Sicherheitscheck für dein KMU anfragen. eluma.ch prüft Version, Sicherung, zentrale Funktionen und Notfallweg sachlich und dokumentiert.
Quellen und Einordnung
Die folgenden Originalveröffentlichungen belegen die im Beitrag genannten Hersteller- und Behördenhinweise.