WordPress 7.2 Update: Sofort installieren oder warten?

Am 8. Dezember 2026 soll WordPress 7.2 erscheinen, die nächste große Version nach 7.1 vom August. Wenn Sie eine Firmenwebsite mit WordPress betreiben, stellt sich damit wieder die Frage: gleich am ersten Tag einspielen oder erst einmal abwarten?

Meine Antwort hängt nicht am Kalender. Version 7.2 gehört auf Ihre Website, sobald Sie ein Backup haben, das sich nachweislich zurückspielen lässt, und das Update auf einer Testkopie sauber gelaufen ist. Das kann der erste Tag sein oder ein späterer.

Zwei Dinge sollten Sie aber schon heute klären. Ende Oktober hat WordPress eine Sicherheitslücke geschlossen, die laut der US-Behörde CISA inzwischen ausgenutzt wird. Und manche Websites spielen große Versionen von selbst ein, ohne dass jemand klickt. Darum geht es zuerst.

Stand: 7. November 2026. WordPress 7.2 liegt bisher nur als Testversion vor, zuletzt Beta 4.

Sind Sie heute auf WordPress 7.1.4?

Ende Oktober ist WordPress 7.1.4 erschienen, ein Sicherheitsupdate. Es schließt unter anderem eine Lücke, die ausgerechnet beim Aktualisieren aufgeht: Bis Version 7.1.3 entpackte WordPress die neuen Dateien in einen vorhersagbaren Ordner, den der Webserver ausliefert. Trifft ein Angreifer diesen Ordner im richtigen Moment, kann er ohne Anmeldung eigenen Code auf Ihrem Server ausführen. Fachleute nennen das Remote Code Execution.

Wie gefährlich das wirklich ist, beurteilen die Fachstellen sehr unterschiedlich. WordPress selbst stuft die Lücke in seinem Sicherheitshinweis als „Low“ ein, und das Sicherheitsunternehmen Patchstack hält sie für kaum praktisch ausnutzbar, weil ein Angreifer genau den Moment des Updates treffen muss. Wordfence dagegen, die Stelle hinter der Kennung CVE-2026-119977, vergibt 8,1 von 10 Punkten, und die CISA führt die Lücke seit dem 3. November in ihrer Liste ausgenutzter Schwachstellen.

Für Sie ändert dieser Streit wenig. Das Update liegt bereit, WordPress rät, es sofort einzuspielen, und ohne es öffnet sich das Zeitfenster laut Patchstack bei jedem weiteren Update wieder, auch bei automatischen.

Vielleicht müssen Sie dafür gar nichts tun: Unterstützt Ihre Website automatische Hintergrund-Updates, startet WordPress dieses Update von selbst. Lassen Sie diese Automatik für den Kern unbedingt an, denn keine manuelle Update-Routine ist schnell genug für das Fenster zwischen „Lücke bekannt“ und „Lücke ausgenutzt“.

Das Update behebt laut der Versionsseite von WordPress die Lücken dieser Runde. Für immer sicher ist Ihre Seite damit nicht:

„Eine Garantie, dass eine Website nie gehackt wird, kann niemand geben, denn eine Lücke, die noch niemand kennt, schließt auch das beste Update nicht.“

— Sascha Fix

Was neben dem Update noch zählt, ordnet mein Ratgeber zur WordPress-Sicherheit. Am Beispiel einer früheren Kernlücke beschreibe ich, wie so ein Update abläuft und warum es allein nicht reicht.

Kommt WordPress 7.2 von allein auf Ihre Seite?

Das hängt davon ab, wie Ihre Installation entstanden ist. WordPress unterscheidet zwei Arten von Updates: Nebenversionen wie 7.1.4 reparieren und sichern, Hauptversionen wie 7.2 bringen neue Funktionen. Nebenversionen spielt WordPress standardmäßig überall automatisch ein. Bei Hauptversionen kommt es darauf an: Wurde Ihre Seite seit WordPress 5.6 frisch installiert, spielt sie auch diese standardmäßig selbst ein. Bestehende Installationen tun das nur, wenn jemand es eingeschaltet hat.

Bei einer frisch installierten Seite stellt sich die Frage „Wann klicke ich?“ also gar nicht. Nachsehen können Sie unter Dashboard → Aktualisierungen. Dort steht ein Hinweis mit einem Link, und dieser Link bietet immer den anderen Zustand an:

• Bietet er an, automatische Updates für alle neuen WordPress-Versionen einzuschalten, sind Hauptversionen aus. Dann kommt 7.2 erst, wenn jemand es einspielt.
• Bietet er an, nur noch Wartungs- und Sicherheitsversionen automatisch einzuspielen, sind Hauptversionen an. Dann spielt Ihre Seite 7.2 von selbst ein.

Steht in Ihrer wp-config.php die Konstante WP_AUTO_UPDATE_CORE, gilt laut Update-Handbuch von WordPress sie statt des Links: true lässt auch Hauptversionen durch, 'minor' nur Nebenversionen. Der Wert false schaltet auch die Sicherheitsupdates ab, und davon rät das Handbuch ausdrücklich ab.

Sind Hauptversionen bei Ihnen an und Sie wollen 7.2 erst auf einer Testkopie sehen, klicken Sie den Link vor dem 8. Dezember an. Die Sicherheitsupdates laufen danach weiter. Lassen Sie die Automatik an, ist der Erscheinungstag Ihre Frist: Bis dahin müssen das Backup und ein Probelauf mit der jüngsten Testversion erledigt sein.

Wann erscheint WordPress 7.2?

Geplant ist der 8. Dezember 2026. Das hat das Projekt zuletzt in der Ankündigung von Beta 4 genannt, und auch der Zeitplan nennt diesen Tag. Zwei ältere Seiten des Projekts nennen noch etwas spätere Tage.

Bis dahin kommen noch eine weitere Testversion und drei sogenannte Release Candidates, also fast fertige Fassungen. Mit dem ersten am 17. November erscheint auch der Field Guide, in dem WordPress die Änderungen für Entwickler sammelt.

Diese Testversionen gehören nicht auf Ihre Live-Seite. Das Projekt bittet in der Ankündigung ausdrücklich darum, sie nicht auf produktiven oder geschäftskritischen Seiten zu installieren. Auf einer Testkopie können Sie damit aber schon heute üben.

Sofort updaten oder warten? Die Regel für Ihre Seite

Eine offizielle Empfehlung zum Zeitpunkt einer Hauptversion gibt WordPress nicht. Das Update-Handbuch rät zu einem Backup und beschreibt den Rückweg, sagt aber weder, dass Sie warten, noch, dass Sie sofort einspielen sollen. Die Regel hier ist deshalb meine eigene: Sicherheitsversionen spielen Sie sofort ein. Die Hauptversion kommt auf die Live-Seite, wenn das Backup steht und die Testkopie sauber läuft.

Warum so vorsichtig? Weil eine Hauptversion tief in das System eingreifen kann. Als ich im November 2026 auf 7.2 Beta 4 aktualisiert habe, kamen in den Kernordnern wp-admin und wp-includes mehr als 200 Dateien hinzu.

Der Testlauf selbst ging gut aus. Ich habe eine frische Installation von WordPress 7.1.4 mit dem Theme Astra und acht aktiven Plugins (WooCommerce, Elementor, Yoast SEO, Contact Form 7, Wordfence, UpdraftPlus, Advanced Custom Fields und WP Mail SMTP) in Testumgebungen auf die Vorabversion aktualisiert, je einmal auf drei PHP-Versionen bis zum noch nicht fertigen 8.6. Alle drei Updates liefen durch, und alle 288 Seitenabrufe vor und nach dem Update antworteten ohne Fehler.

Das beruhigt, sagt aber wenig über Ihre Seite mit ihren eigenen Inhalten und Plugin-Ständen. Deshalb muss es Ihre eigene Kopie zeigen, und dort reicht es nicht, dass Seiten laden: Auch Formular, Bestellweg und Editor müssen funktionieren.

Für jede Art von Update sieht die Regel so aus:

Bei umfangreichen Plugins wie WooCommerce oder einem Page Builder empfehle ich weiterhin Updates von Hand mit einem Backup direkt davor. Das widerspricht dem Rat zur Automatik nicht, denn der gilt dem Kern und kleinen Erweiterungen. Die großen Plugins greifen tief in die Seite ein, und mit dem Backup machen Sie einen Fehler rückgängig, statt ihn unter Zeitdruck auf der Live-Seite zu reparieren.

Reicht es, auf WordPress 7.2.1 zu warten?

Das klingt vernünftig, ist aber kein Plan, denn „nach 7.2.1“ ist kein Termin. Laut der Versionsübersicht von WordPress kam die erste Nebenversion in den letzten Jahren mal nach 2 Tagen und mal erst nach 63.

Warten hat außerdem einen Preis. Sobald 7.2 da ist, ist 7.1 nicht mehr die neueste Version, und aktiv unterstützt wird laut Versionsseite nur die neueste. Fixes für ältere Versionsreihen bietet das Projekt als Entgegenkommen an. Backup und Testkopie haben Sie dagegen selbst in der Hand, und das geht schon vor dem 8. Dezember.

Wie spielen Sie WordPress 7.2 ein und kommen notfalls zurück?

Der Ablauf ist immer derselbe: erst sichern, dann auf einer Kopie ausprobieren, und erst danach kommt die echte Seite dran. Ohne ein Backup direkt davor ist ein Rückschritt laut Update-Handbuch von WordPress kaum möglich.

1. Backup ziehen und das Zurückspielen ausprobieren

   Sichern Sie Dateien und Datenbank und legen Sie die Sicherung außerhalb des Webspace ab; so entsteht das Backup. Probieren Sie dann aus, ob es sich zurückspielen lässt, denn eine Sicherung, die nie zurückgespielt wurde, ist ungeprüft. Auch das Update-Handbuch nennt diese Prüfung unverzichtbar.

2. PHP-Version klären

   Sehen Sie nach, welche PHP-Version Ihr Tarif nutzt, und vergleichen Sie sie mit dem Abschnitt unter dieser Anleitung. Wenn Sie umstellen müssen, ist das ein eigener Schritt mit eigener Probe.

3. Testkopie anlegen

   Legen Sie eine Kopie der Seite in einer Staging-Umgebung an, also abgetrennt von der Live-Seite und mit derselben PHP-Version. Wenn das für Sie neu ist, fragen Sie Ihren Hoster danach; das rät auch das Test-Team von WordPress.

4. WordPress 7.2 auf der Testkopie einspielen und prüfen

   Rufen Sie nach dem Update Seiten im Frontend und im Backend auf. Dann bedienen Sie, was Ihre Seite trägt: das Kontaktformular abschicken, eine Testbestellung bis zum Ende durchspielen, einen Beitrag im Editor speichern, ein Backup anstoßen. Lesen Sie zum Schluss das PHP-Protokoll.

5. Live-Seite mit einem Backup direkt davor aktualisieren

   Ziehen Sie unmittelbar vorher ein frisches Backup, spielen Sie 7.2 ein und prüfen Sie Frontend, Backend, Formular und Bestellweg.

6. Im Fehlerfall das Backup zurückspielen

   Wenn das Update etwas kaputt macht, spielen Sie das Backup von direkt davor zurück, suchen die Ursache auf der Testkopie und spielen das Update erst wieder ein, wenn es dort zuverlässig läuft. Bei einem kritischen Fehler hilft der Wiederherstellungsmodus; wenn nur eine weiße Seite bleibt, beschreibe ich die nächsten Schritte eigens.

Liegt Ihre Seite mehr als zwei Hauptversionen zurück, passt diese Anleitung nicht. Das Handbuch rät dann zu Zwischenschritten, und bei großem Rückstand gilt eine andere Reihenfolge.

Welche PHP-Version braucht WordPress 7.2?

An der Mindestversion ändert 7.2 bisher nichts: Beta 4 verlangt wie 7.1.4 mindestens PHP 7.4, und das Projekt empfiehlt PHP 8.3 oder neuer. Wenn Sie ohnehin umstellen, rate ich zu PHP 8.4 oder 8.5. PHP 8.3 nehme ich nur als Zwischenschritt, wenn ein Plugin 8.4 noch nicht verträgt.

Dringender ist ein anderer Termin: Laut php.net bekommt PHP 8.2 nur noch bis zum 31. Dezember 2026 Sicherheitsupdates (Stand November 2026). Was das für Ihren Tarif bedeutet und wie die Umstellung abläuft, habe ich eigens beschrieben.

PHP 8.6 soll laut PHP-Plan im November erscheinen. Eine Zusage dafür gibt es von WordPress noch nicht: Seine Kompatibilitätstabelle endet bisher bei PHP 8.5.

Eines hat mein Testlauf dazu gezeigt: Je neuer die PHP-Version, desto mehr Deprecated-Hinweise standen im Protokoll, also Meldungen, dass Code etwas benutzt, das PHP künftig entfernen will. Auf PHP 8.3 war es vor dem Update ein einziger, auf dem noch nicht fertigen PHP 8.6 waren es 145. Sie stammten alle aus Plugins, keiner nannte eine WordPress-Datei, und einen Fatal Error gab es nicht. Eine Zusage, dass 7.2 auf PHP 8.6 läuft, ist das nicht.

Für Ihre Testkopie heißt das: Ändern Sie PHP und WordPress nicht im selben Schritt. Sonst wissen Sie nicht, ob eine Meldung vom Plugin oder vom Update kommt.

Was ändert sich laut Roadmap in WordPress 7.2?

An der Regel oben ändert nach Stand 7. November 2026 keine geplante Funktion etwas. Laut Roadmap ist für Betreiber vor allem Folgendes interessant:

• Standard-Theme Ipsum: ein neues mitgeliefertes Theme, angekündigt und im Code der Beta 4 als Ordner vorhanden.
• On This Day: ein neues Widget im Dashboard, ebenfalls angekündigt.
• Notes im Editor: Emoji-Reaktionen auf Notizen sind angekündigt, Änderungsvorschläge stehen nur in der Roadmap.
• Anwendungspasswörter: eine E-Mail, wenn ein neues Anwendungspasswort angelegt wird. Das steht in der Roadmap, und die Funktion ist im Code der Beta 4 vorhanden.
• Sudo-Modus: eine erneute Anmeldung vor besonders heiklen Admin-Aktionen. Das steht bisher nur in der Roadmap.
• Neue Blöcke: Inhaltsverzeichnis und Beschreibungsliste stehen ebenfalls nur in der Roadmap und tauchen im Code der Beta 4 unter diesen Namen nicht auf.

Auf diese Liste würde ich mich nicht verlassen, denn die Roadmap sagt selbst, dass nicht alles im Release landen muss. Welche Funktion kommt, steht erst mit dem Release fest. Wie das ausgehen kann, zeigt 7.1: Die Echtzeit-Zusammenarbeit wurde laut Field Guide zu 7.1 ausgiebig getestet und ist im Release trotzdem nicht eingeschaltet.

Selbst updaten oder die Wartung übernehmen lassen?

Das alles können Sie selbst machen, wenn eine Testkopie möglich ist, Sie das Zurückspielen eines Backups schon ausprobiert haben und Zeit für den Probelauf bleibt. Fehlt eines davon oder hängen Bestellungen an der Seite, ist die WordPress-Wartung der andere Weg.

In der WordPress-Wartung spiele ich Updates für WordPress, Plugins und Themes jede Woche ein: erst das Backup, dann das Update, danach die Prüfung. Macht ein Update etwas kaputt, setze ich Ihre Website auf das Backup zurück, das ich direkt vor dem Update angelegt habe. Danach suche ich die Ursache und spiele das Update erst wieder ein, wenn es zuverlässig läuft. Die Wartung kostet ab 39 € im Monat zzgl. 19 % USt. und ist monatlich kündbar, der Erstcheck davor ist kostenlos.

Ist die Seite nach einem Update schon ausgefallen und liegt ein Backup vor, spiele ich es über die Website-Reparatur zurück, zum Festpreis von 119 € zzgl. 19 % USt.