WordPress-Lücke CVE-2026-65640: Warum 7.0.4 kein optionales Update ist

Kurzer Reality-Check: Seit dem 12. August 2026 gibt es WordPress 7.0.4 — kein Feature-Release, ein Security-Fix. CVE-2026-65640 (GHSA-8vr3-7mxf-gx8w) ist Remote Code Execution über einen Datei-Upload. Voraussetzung: jemand mit der Rolle Autor oder höher plus Imagick und Ghostscript auf dem Server. Genau das steht auf sehr vielen VPS still so.

WordPress stuft das als High ein (CVSS 8.8). Cloudflare hat die WAF-Regel am 17. August namentlich auf diese CVE gelegt. Wer 7.0.3 oder einen ungepatchten 6.x/5.x/4.7-Zweig fährt, ist das Update schuldig — nicht „irgendwann im nächsten Maintenance-Fenster“.

Was passiert ist

pwn.ai hat die Lücke gemeldet. WordPress hat 7.0.4 am 12. August veröffentlicht und den Fix höflich bis Zweig 4.7 zurückportiert. Aktiv unterstützt bleibt nur die aktuelle Hauptversion. Die Backports existieren, damit alte Sites nicht offen bleiben — sie sind kein Freibrief, ewig auf 5.8 zu bleiben.

Der Angriff braucht einen eingeloggten Account mit Upload-Recht, keinen Gast im Frontend. Autor-Accounts auf Gemeinschaftsblogs, Gastredaktionen und alte Mitarbeiter-Logins sind deshalb der praktische Weg, nicht „irgendein Bot von außen“.

Welche Version ihr braucht

• 7.0.x → 7.0.4
• 6.9.x → 6.9.7
• 6.8.x → 6.8.8
• Ältere Zweige: das jeweils letzte Minor seit 4.7.35 aufwärts — oder besser direkt auf 7.0.4.

Dashboard → Aktualisierungen → Jetzt aktualisieren. Sites mit Auto-Updates ziehen 7.0.4 von selbst. Selbst verwaltete VPS tun das oft nicht.

Checkliste für VPS- und Root-Kunden

1. Version prüfen. Backend oder wp core version. Steht dort 7.0.3 oder älter im gleichen Zweig — sofort patchen.
2. Backup vor dem Klick. Dateien plus Datenbank. Ein Security-Update ist klein, ein kaputtes Plugin danach ärgerlich.
3. Update einspielen. Core zuerst. Plugins und Themes danach, nicht umgekehrt.
4. Autoren-Accounts aufräumen. Jeder mit upload_files ist in der Voraussetzung der Advisory. Keine geteilten Autor-Logins, keine alten Gastzugänge.
5. Imagick/Ghostscript nur wenn nötig. Viele Stacks haben beides „weil Standard“. Wer keine PDF- oder Postscript-Vorschau braucht, kann die Kette härten, statt sie dauerhaft offen zu lassen.
6. WAF ist kein Ersatz. Cloudflare blockt bekannte Muster. Der Fix sitzt in WordPress. Beides ist gut. Nur WAF ist kein Patch.

Was wir hier nicht tun

Keine PoCs, keine Upload-Rezepte. Wer eine Site betreibt, braucht die Version und die Rechte — nicht eine Anleitung, wie man die Lücke ausnutzt. Nach dem Update: kurze Kontrolle, ob das Backend noch steht und unbekannte Plugins fehlen.

WordPress auf einem VPS in Frankfurt heißt: ihr entscheidet, wann gepatcht wird. Shared-Hoster machen das oft automatisch. Root tut das nur, wenn ihr es anstößt.

V-Server bestellen →
Root-Server Linux · WordPress 7.0.4 Release