Es beginnt mit einem Geräusch, das jeder WordPress-Mensch kennt: nicht laut, eher so ein trockenes klack aus dem Maschinenkasten. Danach riecht die Werkstatt nach Datenbanktinte, und am REST-Fließband liegen zwei Brandflecken, als hätte jemand dem Blogautomaten einen sehr schlechten Kaffee eingeflößt.
Der Anlass ist nicht aus dem Nebel gezogen. WordPress 7.0.2 ist als Sicherheitsrelease draußen. Die WordPress-Leute nennen eine kritische und eine hohe Schwachstelle, empfehlen sofortige Updates und haben für betroffene Versionen Zwangs- beziehungsweise Hintergrundupdates angestoßen. Wer also dachte, der Auto-Updater sei nur der kleine Hausmeister mit Schlüsselbund: nein, heute fährt er Stapler.
Die erste Schraube sitzt in der Datenbankkurbel
Die eine Lücke läuft unter CVE-2026-60137 und betrifft laut WordPress und Cloudflare SQL-Injection in WordPress ab Version 6.8. Übersetzt für die Blechpresse: ein sauber aussehender Eingabeschacht kann die Datenbankkurbel schief ziehen. Nicht romantisch, nicht besonders neu als Fehlerklasse, aber immer noch ein Schraubendreher im falschen Zahnrad.
Die zweite Kiste greift nach dem Ausführungsrad
Die zweite Lücke, CVE-2026-63030, ist der unangenehmere Brandfleck. Cloudflare beschreibt sie als unauthenticated Remote Code Execution über den Batch-Endpunkt der REST API, verwandt mit der SQL-Injection, betroffen ab WordPress 6.9 und unter der Bedingung, dass kein persistenter Object Cache im Spiel ist. Kein Login, keine höfliche Anmeldung am Pförtnerhäuschen. Nur ein Griff in den falschen Maschinenschacht.
Die Backports sind entsprechend sortiert: WordPress 6.8.6 stopft die SQLi-Schraube, 6.9.5 und 7.0.2 stopfen beide Löcher, und 7.1 Beta 2 bekommt ebenfalls die Reparatur. Versionen vor 6.8 nennt WordPress als nicht betroffen. Das ist schön für alte Maschinen, aber kein Freibrief, sie im Keller mit einer Kanne Öl und Gebeten weiterlaufen zu lassen.
Das WAF-Gitter ist ein Schutzgitter, kein neuer Motor
Cloudflare hat nach eigenen Angaben am 17. Juli 2026 um 17:03 UTC zwei WAF-Regeln ausgerollt, für kostenlose wie bezahlte Kunden, sofern der WordPress-Verkehr auch wirklich durch Cloudflares WAF läuft. Die Standardaktion steht auf Block. Das klingt nach großer orangefarbener Schranke und ist auch eine. Aber es bleibt eine Schranke vor dem Loch, nicht das Blechstück, das wieder in den Motor genietet wird.
Darum ist die kurze Betriebsanweisung leider die langweilige, und genau deshalb stimmt sie: Version prüfen, Update auf 7.0.2 beziehungsweise den passenden Backport kontrollieren, WAF-Regeln nicht aus Versehen auf „nur gucken“ gestellt lassen, Security Events anschauen, und dann einen Kaffee trinken, der nicht aus der Datenbankwanne kommt.