WordPress zu alt? Welche Versionen noch Sicherheitsupdates bekommen

Die aktuelle WordPress-Version ist 7.1.3 vom 6. Oktober 2026. Laut WordPress.org laufen etwa 37 Prozent aller WordPress-Websites auf einer älteren Hauptversion.

Das Wichtigste in Kürze

• Offiziell unterstützt ist nur die neueste Hauptversion, heute WordPress 7.1.
• Ältere Versionen bekommen Sicherheitsupdates nur aus Kulanz, ohne Garantie und ohne festen Zeitraum. Aktuell reicht das zurück bis WordPress 4.7.
• WordPress empfiehlt PHP 8.3 oder neuer. WordPress 7 braucht mindestens PHP 7.4, aber PHP 7.4 bekommt selbst keine Updates mehr.
• Gerade aktuell: Im September wurde eine Lücke im WordPress-Kern aktiv ausgenutzt, im Oktober kam PHP2Shell.

Was WordPress zur Unterstützung alter Versionen sagt

WordPress.org schreibt: „The only current officially supported version is the last major release of WordPress.“ Sicherheitskorrekturen für ältere Versionen gibt es „as a courtesy“, also aus Kulanz, ohne Garantie und ohne Zeitplan. Und weiter: Keine dieser älteren Versionen sei sicher, außer der neuesten.

In der Praxis bekommen ältere Versionen bis zurück zu 4.7 meist die wichtigsten Korrekturen. Darauf verlassen kannst du dich nicht.

Zwei Beispiele aus den letzten Monaten

• wp2shell, Juli 2026: Über zwei Lücken im Kern ließ sich WordPress ohne Login übernehmen. Die ersten Angriffe kamen in der Nacht nach dem Update. Mehr in wp2shell.
• CVE-2026-87902, September 2026: Eine Lücke im Kern, über die sich ohne Login Dateien einbinden lassen, unter Umständen bis zur Ausführung von Code. Behoben in WordPress 7.1.2 am 22. September. Die US-Behörde CISA hat sie am 25. September in ihre Liste aktiv ausgenutzter Lücken aufgenommen.

PHP und WordPress hängen zusammen

WordPress 7 hat die Unterstützung für PHP 7.2 und 7.3 beendet und braucht mindestens PHP 7.4. WordPress.org empfiehlt PHP 8.3 oder neuer und warnt, dass ältere PHP-Versionen deine Website angreifbar machen können. Laut WordPress.org laufen rund 36 Prozent der WordPress-Websites auf einer PHP-Version, die keine Sicherheitsupdates mehr bekommt.

Welche Versionen deine Website nutzt, siehst du im Dashboard unter Werkzeuge, Website-Zustand, Bericht: WordPress-Version oben, PHP-Version unter Server.

Was du tun solltest

1. Automatische Updates für WordPress einschalten, mindestens für kleine Versionen. Die meisten Sicherheitsupdates kommen so von allein.
2. Auf die neueste Hauptversion aktualisieren. Vorher Backup, danach Formulare, Shop und Login testen.
3. PHP mit aktualisieren auf 8.3 oder neuer. Läuft dein Theme oder ein Plugin damit nicht, ist das der Teil, den wir übernehmen: Wir aktualisieren auf einer Kopie, ersetzen, was nicht mehr läuft, und schalten erst live, wenn alles funktioniert.
4. Plugins aufräumen. Jedes Plugin, das niemand mehr pflegt, ist eine Lücke, die irgendwann aufgeht.

Quellen

• WordPress.org: Supported Versions
• WordPress.org: Requirements
• WordPress.org: Dropping support for PHP 7.2 and 7.3, 9. Januar 2026
• WordPress.org: Statistiken zu WordPress-Versionen und PHP-Versionen, abgerufen am 21. Oktober 2026
• CVE-Eintrag: CVE-2026-87902