Jan Philipps Zusammenfassung lesen
Kurz gesagt: Am achtundzwanzigsten Oktober zweitausendsechsundzwanzig ist WordPress sieben Punkt eins Punkt vier erschienen, ein reines Sicherheitsupdate, nur drei Wochen nach Version sieben Punkt eins Punkt drei. WordPress empfiehlt, die Website sofort zu aktualisieren.
Was das Update behebt
Die Liste der behobenen Probleme hat zwölf Punkte:
- Der ernsteste ist eine Schwachstelle im Update-Vorgang selbst, über die während des Updates fremder Code auf dem Server laufen kann.
- Dazu kommen acht Punkte zu gespeichertem Cross-Site-Scripting, also Code, den ein Angreifer in die Website einschleust und der dann im Browser anderer Nutzer läuft.
- Außerdem eine Lücke, die die Website lahmlegen kann, und zwei Stellen, an denen Unbefugte Inhalte sehen konnten.
Wer die Lücken gefunden hat
Auffällig ist, wer die Lücken gemeldet hat: Mehrere Funde stammen von Anthropic, der Firma hinter dem KI-Modell Claude. Meine Einschätzung: KI hilft, Fehler schneller zu finden. Das ist gut, heißt aber auch, dass Sicherheitsupdates eher häufiger kommen.
So prüfst du deine Version
Was dabei wichtig ist, ist Folgendes: Seit WordPress drei Punkt sieben spielt WordPress kleine Updates und Sicherheitsupdates auf den meisten Websites automatisch ein. Ob das bei dir geklappt hat, siehst du in einer Minute. Im Dashboard unter Aktualisierungen oder unten rechts im Admin-Bereich steht die Versionsnummer. Steht dort sieben Punkt eins Punkt vier oder höher, bist du auf dem aktuellen Stand.
Plugins, Themes und die richtige Reihenfolge
Plugins und Themes aktualisieren sich dagegen nur automatisch, wenn du es für jedes einzeln einschaltest. Das geht in der Plugin-Übersicht über die Spalte für automatische Aktualisierungen. Ich würde das bei kleinen, gut gepflegten Plugins machen, bei großen wie einem Page Builder oder einem Shop lieber vorher prüfen.
Vor jedem größeren Update gilt:
- erst ein Backup,
- dann WordPress,
- dann Plugins,
- dann das Theme.
Danach die wichtigsten Seiten und das Kontaktformular einmal ansehen und den Cache leeren.
Im Beitrag findest du alle Schritte mit Links zu den offiziellen WordPress-Anleitungen.
Inhaltsverzeichnis
- Die wichtigsten Begriffe, einfach erklärt
- WordPress Update 7.1.4: Was es behebt
- Zwei Sicherheitsupdates in drei Wochen: Was da los ist
- WordPress Version prüfen: Hat deine Website das Update schon?
- Automatische Updates: Was WordPress selbst erledigt
- WordPress aktualisieren, ohne dass etwas kaputtgeht
- Häufige Fragen zum WordPress Update
- Fazit
- Quellen
Eine Tischlerei aus Bielefeld hat ihre Website seit drei Jahren auf WordPress. Seitdem hat niemand mehr ins Dashboard geschaut, die Seite läuft ja. Genau solche Websites meine ich, wenn eine Meldung wie diese kommt: Am 28. Oktober 2026 hat WordPress die Version 7.1.4 veröffentlicht, ein reines Sicherheitsupdate, nur drei Wochen nach 7.1.3.
Ich erkläre hier, was das WordPress Update behebt, wie du prüfst, ob deine Website es schon hat, und wie du WordPress so aktualisierst, dass danach nichts kaputt ist.
Das Wichtigste in Kürze
Warum das wichtig ist
Sicherheitslücken in WordPress werden mit der Ankündigung öffentlich bekannt. Ab dann ist jede Website, die noch auf dem alten Stand läuft, ein leichteres Ziel.
Darauf kommt es an
- Was neu ist: WordPress 7.1.4 ist am 28. Oktober 2026 erschienen und schließt zwölf gemeldete Sicherheitsprobleme, darunter eine Schwachstelle im Update-Vorgang selbst.
- Wie dringend: WordPress empfiehlt, sofort zu aktualisieren.
- Automatisch: Sicherheitsupdates spielt WordPress auf den meisten Websites selbst ein. Ob das bei dir klappt, siehst du an der Versionsnummer.
- Plugins und Themes: Die aktualisieren sich nur automatisch, wenn du es für jedes einzeln einschaltest.
- Vorher sichern: WordPress rät vor jedem Update zu einem Backup, damit du bei Problemen zurück kannst.
Die wichtigsten Begriffe, einfach erklärt
- WordPress-Kern (Core): das eigentliche Programm WordPress, ohne Theme und Plugins. Um dieses Update geht es hier.
- Sicherheitsupdate (Minor-Update): eine kleine Version wie 7.1.3 auf 7.1.4. Sie bringt keine neuen Funktionen, sondern schließt Lücken. Große Versionen wie 7.2 bringen neue Funktionen.
- XSS (Cross-Site-Scripting): Ein Angreifer schleust Code in die Website ein, der dann im Browser anderer Nutzer läuft, zum Beispiel bei einem Administrator. Bei „gespeichertem“ XSS liegt der Code dauerhaft in der Website.
- Remote Code Execution: Ein Angreifer kann eigenen Programmcode auf deinem Server ausführen. Das ist die gefährlichste Art von Lücke.
- Backup: eine vollständige Kopie von Dateien und Datenbank, mit der du die Website wiederherstellen kannst.
WordPress Update 7.1.4: Was es behebt
In der offiziellen Ankündigung zu WordPress 7.1.4 steht gleich am Anfang ein klarer Satz:
Weil es ein Sicherheitsupdate ist, empfiehlt WordPress, die Websites sofort zu aktualisieren. Darunter steht, wie es geht: im Dashboard auf „Aktualisierungen“ und dann auf „Jetzt aktualisieren“. Websites, die automatische Hintergrund-Updates unterstützen, beginnen laut WordPress von selbst mit dem Update. Die nächste große Version 7.2 ist für den 8. Dezember 2026 geplant.
Die Liste der behobenen Probleme hat zwölf Punkte, einer davon fasst mehrere Lücken in derselben Schnittstelle zusammen. Der erste Punkt ist der ernsteste:
Eine Schwachstelle im Update-Vorgang von WordPress kann während des Updates dazu führen, dass fremder Code auf dem Server ausgeführt wird. Dazu kommen laut Ankündigung:
- Acht Punkte zu gespeichertem XSS, unter anderem bei Blöcken im Editor, bei Anfragen zur Datenlöschung, im Customizer, bei Benutzernamen und in der Interactivity API, einer Technik für interaktive Blöcke.
- Eine Lücke, die die Website lahmlegen kann (Denial of Service), ebenfalls in der Interactivity API.
- Unveröffentlichte Änderungen im Customizer konnten von Besuchern ohne Anmeldung gefunden werden.
- Notizen zu Beiträgen konnten von Nutzern gelesen werden, die den Beitrag selbst nicht bearbeiten dürfen.
Zusätzlich aktualisiert 7.1.4 die mitgelieferten Stammzertifikate, mit denen WordPress sichere Verbindungen prüft. Das ist keine Lücke, gehört aber zum Update.
Warum das Datum zählt
Mit der Ankündigung ist öffentlich, wo die Lücken lagen. Wer seine Website danach wochenlang nicht aktualisiert, lässt eine bekannte Tür offen. Darum ist „später mal“ bei Sicherheitsupdates keine gute Idee.
Zwei Sicherheitsupdates in drei Wochen: Was da los ist
Schon am 6. Oktober 2026 kam WordPress 7.1.3 mit sieben Sicherheitskorrekturen. Auffällig ist, wer die Lücken gemeldet hat: Mehrere Funde in beiden Updates stammen laut den Ankündigungen von Anthropic, der Firma hinter dem KI-Modell Claude. Einen Fund in 7.1.3 meldete das Sicherheitsunternehmen Trail of Bits zusammen mit OpenAI.
Meine Einschätzung: KI-Werkzeuge helfen inzwischen dabei, Fehler im Code schneller zu finden. Das ist gut, weil die Lücken geschlossen werden, bevor jemand sie ausnutzt. Es heißt aber auch, dass Sicherheitsupdates eher häufiger kommen. Eine Website, um die sich niemand kümmert, fällt dann schneller zurück.
WordPress Version prüfen: Hat deine Website das Update schon?
Das geht in einer Minute. Melde dich in WordPress an (deinedomain.de/wp-admin) und klicke links auf Dashboard und dann auf Aktualisierungen. So sieht das bei der Website eines Fotografen aus, die ich betreue:
Bei Aktuelle Version (2) steht hier 7.1.4. Die Website hat das Update also schon, ohne dass jemand etwas tun musste. Der Satz darunter (3) verrät, warum: Diese Website wird bei allen neuen WordPress-Versionen automatisch aktualisiert. Steht bei dir stattdessen ein Hinweis auf eine neuere Version mit dem Knopf „Jetzt aktualisieren“, ist das Update noch nicht da. Die Zahl neben Aktualisierungen (1) zählt alle offenen Updates zusammen, also auch Plugins und Übersetzungen.
Die Versionsnummer steht außerdem unten rechts auf jeder Seite im Admin-Bereich. Unter Werkzeuge > Website-Zustand warnt WordPress zusätzlich, wenn geplante Aufgaben wie automatische Updates nicht laufen.
Steht dort 7.1.4 oder höher, ist das Update da. Steht dort eine ältere Version, hat das automatische Update bei dir nicht gegriffen. Dann aktualisierst du von Hand oder lässt es von dem machen, der die Website betreut.
Automatische Updates: Was WordPress selbst erledigt
Viele wissen nicht, dass WordPress kleine Updates von selbst einspielt. Die WordPress-Anleitung zum Aktualisieren sagt dazu:
Seit WordPress 3.7 werden kleinere Updates und Sicherheitsupdates auf den meisten Websites automatisch im Hintergrund eingespielt. Voraussetzung ist, dass deine Website Updates mit einem Klick ausführen kann, ohne nach Zugangsdaten für den Server zu fragen. Große Versionen wie 7.2 musst du laut Anleitung weiterhin selbst mit „Jetzt aktualisieren“ starten.
Das gilt nur für WordPress selbst. Plugins und Themes, also Erweiterungen und Designs, sind ein eigenes Thema. Laut der WordPress-Anleitung zu automatischen Updates kannst du sie seit Version 5.5 einzeln einschalten:
Geh auf Plugins (1). Ganz rechts gibt es die Spalte Automatische Aktualisierungen (2). Steht dort „Automatische Aktualisierungen aktivieren“, ist die Funktion für dieses Plugin aus, so wie im Beispiel bei fast allen. Ein Klick schaltet sie ein. Bei Themes findest du den Link unter „Design > Themes“, wenn du ein Theme anklickst. Laut der WordPress-Anleitung prüft WordPress zweimal am Tag und schickt dir eine E-Mail, wenn ein Update geklappt hat oder fehlgeschlagen ist. Fehlt die Spalte ganz, hat oft der Hoster oder ein Plugin die Funktion abgeschaltet, wie hier bei Borlabs Cookie, das seine Updates selbst steuert.
Mein Tipp
Ich schalte automatische Updates nicht blind für alle Plugins ein. Für kleine, gut gepflegte Plugins ja. Für große Plugins wie einen Page Builder oder einen Shop prüfe ich Updates lieber zuerst, weil ein Fehler dort gleich die ganze Seite betrifft.
WordPress aktualisieren, ohne dass etwas kaputtgeht
Ein Sicherheitsupdate wie 7.1.4 ist klein und läuft meist problemlos. Bei großen Versionen und vielen Plugins kann es haken. Deshalb beginnt die WordPress-Anleitung mit der Sicherung:
Mach vor dem Update ein Backup, damit du die Website bei Problemen wiederherstellen kannst. In dieser Reihenfolge würde ich vorgehen:
- 1
Backup machen
WordPress rät vor jedem Update zu einer Sicherung von Dateien und Datenbank. Prüfe, ob du sie auch wiederherstellen kannst.
- 2
WordPress zuerst
Erst den Kern aktualisieren, dann Plugins, dann das Theme. So weißt du bei einem Fehler, woran es lag.
- 3
Seite ansehen
Startseite, Kontaktformular und die wichtigsten Leistungsseiten einmal aufrufen. Funktioniert das Formular noch?
- 4
Cache leeren
Nutzt die Website ein Cache-Plugin, danach den Cache leeren, damit Besucher die neue Fassung sehen.
Bleibt WordPress mitten im Update hängen und zeigt die Meldung, dass die Website gerade gewartet wird, liegt im Hauptordner meist noch eine Datei namens .maintenance. Laut WordPress-Anleitung reicht es, diese Datei per FTP zu löschen. Wie du mit Backups umgehst und worauf du dabei achten solltest, steht auch in meinem Beitrag zum UpdraftPlus-Sicherheitsvorfall.
WordPress ist nur ein Teil der Technik. Auch die PHP-Version auf dem Server braucht Updates, dazu mehr im Beitrag WordPress PHP Version prüfen. Eine Checkliste für alles andere findest du unter Website-Sicherheit prüfen.
Häufige Fragen zum WordPress Update
Muss ich WordPress 7.1.4 selbst installieren?
Meist nicht. Sicherheitsupdates spielt WordPress auf den meisten Websites automatisch ein. Prüfe trotzdem unter „Dashboard > Aktualisierungen“, ob wirklich 7.1.4 installiert ist. Wenn nicht, starte das Update dort mit „Jetzt aktualisieren“.
Was passiert, wenn ich das WordPress Update nicht mache?
Die Website läuft erst einmal weiter. Die Lücken sind aber öffentlich beschrieben, und deine Website bleibt angreifbar. Im schlimmsten Fall wird sie gehackt, verteilt Schadcode oder wird von Google mit einer Warnung versehen.
Bekommen ältere WordPress-Versionen die Korrekturen auch?
Laut Ankündigung werden die Sicherheitskorrekturen, wo nötig, bis zurück zu Version 4.7 nachgereicht. Aktiv unterstützt wird aber nur die neueste Version. Ich würde mich auf alte Versionen deshalb nicht verlassen.
Kann ein WordPress Update meine Website zerstören?
Bei kleinen Sicherheitsupdates ist das selten. Bei großen Versionen kann ein veraltetes Plugin oder Theme Probleme machen. Mit einem Backup vorher bist du in jedem Fall auf der sicheren Seite.
Fazit
WordPress 7.1.4 schließt zwölf gemeldete Sicherheitsprobleme, darunter eine Schwachstelle im Update-Vorgang selbst. Auf den meisten Websites kommt das Update automatisch, ein Blick auf die Versionsnummer zeigt dir in einer Minute, ob es da ist. Plugins und Themes brauchen eigene Aufmerksamkeit. Wenn du keine Zeit hast, dich regelmäßig darum zu kümmern, übernehme ich die Pflege gern. Mehr dazu auf meiner Seite zum Webdesign.
Quellen
- WordPress.org: WordPress 7.1.4, 28. Oktober 2026
- WordPress.org: WordPress 7.1.3 Maintenance and Security Release, 6. Oktober 2026
- WordPress-Dokumentation: Updating WordPress, Stand 15.09.2024
- WordPress-Dokumentation: Plugin and themes auto-updates, Stand 13.01.2023
- WordPress-Entwicklerdokumentation: WordPress Backups
