WordPress 7.2 steht vor der Tür (und 7.1.3 ist ein Sicherheitsupdate): Neuerungen und sicheres Aktualisieren

In diesem Herbst sind zwei WordPress-Versionen wichtig. WordPress 7.1.3, veröffentlicht am 6. Oktober 2026, ist ein Sicherheitsupdate mit sieben Fixes – jede Website sollte es bereits installiert haben. WordPress 7.2, das letzte Major-Release des Jahres 2026, hat am 20. Oktober Beta 1 erreicht und soll am 8. Dezember erscheinen.

In diesem Leitfaden erfahren Sie, was mit 7.1.3 behoben wurde, was 7.2 Neues bringt, welche Änderungen Ihr Theme oder Ihre Plugins betreffen könnten und wie Sie die neue Version testen, ohne Ihre Live-Website zu gefährden.

WordPress 7.1.3: sieben Sicherheitsfixes

WordPress 7.1.3 ist ein Wartungs- und Sicherheitsrelease mit 7 Sicherheitsfixes und 4 Fehlerbehebungen. Folgende Sicherheitslücken werden geschlossen:

• eine Stored-Cross-Site-Scripting-Lücke (XSS) in der Kommentarverwaltung, ausnutzbar über ausstehende Kommentare;
• ein Denial-of-Service-Problem in WP_Http::make_absolute_url();
• eine Second-Order-SQL-Injection im WXR-Tool (Export);
• Benutzer mit der Rolle „Autor“ konnten Beiträge oben halten (sticky);
• Kommentare zu privaten und unveröffentlichten Beiträgen waren ohne Anmeldung lesbar;
• eine XSS-Lücke in Imgur-Einbettungen;
• fälschbare Parameter im Hook {status}_{type}, die zu Kollisionen von Action-Namen führen konnten.

Mehrere davon wurden von Sicherheitsforschern bei Trail of Bits, OpenAI, Anthropic und Patchstack gemeldet – ein weiteres Zeichen dafür, wie viel KI-gestützte Sicherheitsforschung inzwischen in weitverbreiteter Software aufdeckt. Dieselben Fixes flossen in WordPress 7.0.7 ein und wurden auf alle Versionszweige zurückportiert, die noch Sicherheitsfixes erhalten, bis zurück zu 4.7. Aktiv unterstützt wird allerdings nur die neueste Version – „weiter auf 6.x mit Backports“ ist also keine langfristige Lösung.

7.1.3 folgt zudem innerhalb weniger Wochen auf zwei weitere Sicherheitsupdates: 7.1.1 (17. September, 11 Sicherheitsfixes) und 7.1.2 (22. September, ein kritischer Fix für eine Lücke, über die ein nicht angemeldeter Angreifer unter bestimmten Bedingungen PHP-Code ausführen konnte). Wenn Ihre Website eines dieser Updates ausgelassen hat, ist sie angreifbar.

Prüfen Sie, ob Sie 7.1.3 nutzen

Gehen Sie im Dashboard zu Dashboard > Aktualisierungen. Websites mit aktivierten automatischen Hintergrund-Updates sollten die Version bereits haben. Über die Kommandozeile:

# Show the installed version
wp core version

# Update to the latest release, then update the database if asked
wp core update
wp core update-db

# Update plugins and themes too
wp plugin update --all
wp theme update --all

Zeitplan für WordPress 7.2

WordPress 7.2 wird von Matt Mullenweg geleitet, David Baumwald übernimmt die Koordination, George Mamadashvili und Peter Wilson sind Tech Leads. Der offizielle Zeitplan:

• Beta 1: 20. Oktober 2026 (bereits verfügbar)
• Beta 2, 3 und 4: 27. Oktober, 3. November und 10. November
• Release Candidate 1: 17. November, gefolgt von RC2 (24. November) und RC3 (1. Dezember)
• Finales Release: 8. Dezember 2026

Erstmals wird die Veröffentlichung selbst als öffentliches Webinar live übertragen, sodass alle dabei zusehen können. Details zur Teilnahme werden kurz vor dem Termin bekannt gegeben.

Was ist neu in WordPress 7.2?

Ipsum, ein neues Standard-Theme

WordPress 7.2 soll Ipsum mitbringen, ein bewusst minimalistisches Blog-Theme im Stil einer leeren Leinwand. Gleichzeitig endet damit die Ära jahresbasierter Theme-Namen wie Twenty Twenty-Five: Standard-Themes erhalten künftig eigene Namen und werden dann gewechselt, wenn das Design es erfordert, statt jedes Jahr.

Bessere Notizen, Vorschlagsmodus in Arbeit

Notizen, die Kommentarfunktion des Editors, erhalten Emoji-Reaktionen, direkt auf der Arbeitsfläche angezeigte Notizen und eine minimierte Ansicht. Die offizielle Roadmap bezeichnet den Vorschlagsmodus – in dem Sie Änderungen vorschlagen, die der Autor annimmt oder ablehnt – als Herzstück dieses Zyklus. In Beta 1 war er noch nicht enthalten; betrachten Sie ihn also als geplant, bis eine spätere Beta ihn bestätigt. Gemeinsames Bearbeiten in Echtzeit ist nicht Teil von 7.2.

Eine Secrets API für Zugangsdaten

Plugins speichern API-Schlüssel und Passwörter häufig als einfache Optionen in der Datenbank. 7.2 führt eine Secrets API ein – mit Verschlüsselung im Ruhezustand, Rotation von Zugangsdaten und austauschbarem Speicher. In 7.2 soll sie voraussichtlich nur über WP-CLI verwaltet werden; eine Admin-Oberfläche ist für 7.3 geplant. Wenn Sie Plugins entwickeln, die Zugangsdaten für Drittanbieter speichern, lohnt sich eine frühe Umstellung.

Schnellerer Admin-Bereich und intelligentere Medienverwaltung

• Admin-Skripte und -Styles werden jetzt einzeln und mit Prefetching geladen statt zusammengefasst, sodass Browser sie besser zwischenspeichern können.
• Die Mediathek skaliert, komprimiert und konvertiert Bilder bereits im Browser vor dem Hochladen und entlastet so den Server.
• Admin-Menü und Werkzeugleiste wechseln von Dashicons zu SVG-Icons aus der WordPress-Icon-Bibliothek.

Und mehr

Beta 1 bringt außerdem responsive Galerie-Einstellungen, Textschatten und Verläufe, Styling für Formularelemente, einen neu gestalteten Medien-Inserter und ein Dashboard-Widget „An diesem Tag“. KI-Funktionen bleiben vorerst im offiziellen AI-Plugin: Sie müssen sich erst in der Praxis durchsetzen, bevor sie für den Core in Betracht gezogen werden.

Änderungen, die Ihre Website beeinträchtigen könnten

Die meisten Websites lassen sich problemlos aktualisieren. Diese Änderungen sollten Sie jedoch testen, insbesondere wenn Sie eigenen Code einsetzen:

• SQL-Modus: NO_BACKSLASH_ESCAPES wird jetzt standardmäßig aus dem SQL-Modus der Datenbankverbindung entfernt. Code, der darauf angewiesen war, benötigt den Filter incompatible_sql_modes in einem db.php-Drop-in, da die Datenbankverbindung vor dem Laden der Plugins hergestellt wird.
• Icons: Rund 330 Core-Icons sind jetzt konturbasiert mit fill: none. Eigenes CSS, das Icons über fill umfärbt, sollte stattdessen color verwenden.
• Veraltete Komponenten: Die Komponenten Divider, ResponsiveWrapper, Scrollable, ZStack und Elevation sind veraltet und werden in 7.4 entfernt.
• Laden von Skripten: Plugins, die davon ausgingen, dass Admin-Skripte zusammengefasst werden, sollten mit dem neuen Ladeverhalten geprüft werden.

/* Before: recolouring core icons with fill no longer works in 7.2 */
.my-plugin .components-button svg { fill: #ff9900; }

/* After: icons are stroke-based, so use color */
.my-plugin .components-button svg { color: #ff9900; }

Die PHP-Anforderungen ändern sich mit 7.2 nicht. Die minimal unterstützte Version ist weiterhin PHP 7.4 (seit WordPress 7.0), empfohlen wird PHP 8.3 oder neuer, zusammen mit MySQL 8.0+ oder MariaDB 10.11+.

So testen Sie WordPress 7.2 sicher

Das WordPress-Projekt selbst empfiehlt, Betas in WordPress Playground, auf einer lokalen Website oder auf einer Staging-Website zu testen und vorher ein Backup anzulegen. Niemals auf der Website, die Ihre Kunden nutzen.

Option 1: eine Staging-Kopie Ihrer Website

Dies ist der aussagekräftigste Test, da er Ihr echtes Theme, Ihre Plugins und Inhalte verwendet. Erstellen Sie eine Staging-Kopie und aktualisieren Sie diese dann auf die Beta:

# On the staging copy only
wp core version

# Install the current beta (use beta2, beta3... as they come out)
wp core update --version=7.2-beta1

# Or follow the latest development build
wp core update --version=nightly

# Go back to the stable release if needed
wp core update --version=7.1.3 --force

Sie klicken lieber, als zu tippen? Installieren Sie auf der Staging-Website das Plugin WordPress Beta Tester, wählen Sie den Kanal „Bleeding edge“ mit „Beta/RC Only“ und aktualisieren Sie anschließend über Dashboard > Aktualisierungen.

Option 2: WordPress Playground

WordPress Playground führt eine vollständige Beta von WordPress 7.2 direkt in Ihrem Browser aus, ganz ohne Installation. Ideal für einen schnellen Blick auf Ipsum und die neuen Editor-Funktionen – ob Ihre eigenen Plugins funktionieren, erfahren Sie dort allerdings nicht.

Überlassen Sie uns die WordPress-Updates

Drei Sicherheitsupdates in fünf Wochen, ein kritischer PHP-Patch und im Dezember eine neue Hauptversion: WordPress sicher zu halten, ist zu einer Daueraufgabe geworden. Mit WebGee Managed WordPress Hosting erhalten Sie alles, was diese Aufgabe mühelos macht: kostenloses SSL, Backups, LiteSpeed-Caching und WordPress-Support rund um die Uhr. Ab dem Turbo-Tarif ist zudem eine Staging-Umgebung inklusive, sodass Sie WordPress 7.2 zuerst an einer Kopie Ihrer Website ausprobieren können.

Als PHP2Shell im Oktober bekannt wurde, haben unsere Techniker alle WebGee-Server für cPanel und Managed WordPress gepatcht – ohne dass unsere Kunden etwas tun mussten. Genau diese Art von Wartung nehmen wir Ihnen ab.