Das Problem hinter zu vielen Updates
Wie du sicher schon mitbekommen hast, gab es in den letzten Wochen und Monaten viele Vorfälle bzw. Sicherheitslücken. Aber wo kommt das her? Das Problem liegt an den zu nah aufeinanderfolgenden Updates: Kaum ist ein Update installiert, steht schon das nächste bereit.
Und 2026 zeigt ziemlich deutlich, warum das Thema Updates längst mehr ist als ein Klick auf „Jetzt aktualisieren“.
Inhaltsverzeichnis
1. Warum die WordPress Updates Probleme verursachen
Der WordPress Core hat innerhalb weniger Wochen mehrere sicherheitsrelevante Core Updates veröffentlicht.
Mit dem Release von WordPress 7.0 folgte im Juli mit WordPress 7.0.2 ein wichtiges Sicherheitsupdate, das eine als „hoch“ eingestufte Schwachstelle geschlossen hat. Darunter eine Angriffskette, die bis zur Remote Code Execution führen konnte. WordPress.org stufte das Risiko sogar so hoch ein, dass für betroffene Installationen automatische Updates erzwungen wurden. Anfang August folgte 7.0.3 mit weiteren Sicherheitskorrekturen, am 12. August bereits 7.0.4 mit einem weiteren RCE-Fix.
Am 19. August wurde soeben erst die nächste Major Version von WordPress 7.1 veröffentlicht. Dieses Core Updates verzettelte sich mit WP Rocket, was zu einem großen Ausfall von Webseiten führt. Aber die WordPress Core Updates in so kurzer Zeit ist nur ein Teil des Problems.
Elementor Pro Schwachstellen
Parallel zu dem WordPress 7.1 Update wurde am 19. August mit CVE-2026-32475 eine kritische Schwachstelle bei Elementor Pro gefunden. Über ein Datei-Upload-Feld im Form-Widget konnten nicht authentifizierte Angreifer unter bestimmten Voraussetzungen schädliche Dateien hochladen und letztlich eigenen PHP-Code ausführen. Der CVSS-Wert liegt bei 9,0, behoben wurde die Schwachstelle mit Elementor Pro 4.2.2.
2. Zeitfenster zwischen Updates sind zu klein für KI Bots
Patchstack hat für 2025 insgesamt 11.334 neu entdeckte Schwachstellen im WordPress-Ökosystem gezählt – rund 42 Prozent mehr als im Vorjahr. 91 Prozent davon kamen über Sicherheitslücken in Plugins.
Noch interessanter: Bei besonders stark ausgenutzten Schwachstellen lag die gewichtete mediane Zeit bis zur ersten massenhaften Ausnutzung bei gerade einmal fünf Stunden.
Zum Problem der zu geringen Zeitfenster kommt das Problem mit der KI. Viele Cyber-Angriffe sind KI-basiert und werden über KI-Bots ausgeführt – auch wenn das nicht b bedeutet, dass jeder Angriff „KI-basiert“ ist.
Die Verwendung von KI-Bots macht es allerdings deutlich einfacher, veröffentlichte Schwachstellen zu analysieren, Exploits nachzubauen und Angriffe zu automatisieren. Bei den kritischen WordPress-Core-Lücken von Juli konnten Sicherheitsforscher beobachten, wie schnell nach Veröffentlichung funktionierende Exploits entstanden sind und Angriffe angefangen haben
Dadurch entsteht vor allem ein Problem für den Nutzer:
Zu spät aktualisieren ist ein Sicherheitsrisiko. Zu schnell und ungeprüft aktualisieren kann aber zum Kompatibilitätsrisiko werden.
Tatsächlich sind automatische Updates nicht die perfekte Lösung für das Problem. Ein WordPress Core Update kann problemlos funktionieren. Wenn allerdings Plugins, WooCommerce oder eine PHP-Konfiguration auch noch Probleme verursachen, wird es spannend.
Unser Lösung: kontrollierter aktualisieren
Bei einem neuen Major-Release wie zum Beispiel WordPress 7.1 empfehlen wir, auf das erste Bug Fix Update zu warten, also die Version 7.1.1. Du solltest also grundsätzlich lieber nicht am Release-Tag selbst das Update einspielen.
Bei Security Releases oder aktiv ausgenutzten Plugin-Schwachstellen gilt dagegen das Gegenteil: Hier solltest du nicht auf den nächsten Bugfix warten, sondern möglichst schnell auf die gepatchte Version wechseln.
Die zetrale Lösung für dich ist daher ein Updateplan:
- Sicherheitsupdates werden priorisiert und schnell eingespielt.
- Major Releases werden zunächst auf einer Staging-Umgebung getestet.
- Vor jedem größeren Update existiert ein funktionierendes Backup.
- Plugins und Themes werden auf bekannte Schwachstellen und Kompatibilität geprüft.
- Nach dem Update werden zentrale Funktionen der Webseite automatisch oder manuell getestet.
WordPress-Sicherheit bedeutet zunehmend, Updates nicht nur schnell, sondern vor allem intelligent zu steuern.
