WordPress-Updates: Kern, Plugins, Themes und PHP

Welche WordPress-Updates sich selbst installieren, welche du einschalten musst, warum auch PHP zählt und wie du deine PHP-Version prüfst.

Das Wichtigste

Seine eigenen Sicherheitsupdates installiert WordPress automatisch. Plugins und Themes aktualisieren sich nur, wenn du das für jedes einzeln einschaltest.
Auch PHP, die Sprache, in der WordPress läuft, braucht Updates. Die installiert dein Hoster.
PHP 8.2 bekommt nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. WordPress empfiehlt PHP 8.3 oder neuer.

Was sich selbst aktualisiert

Seit Version 3.7 aktualisiert sich WordPress im Hintergrund. Was es aktualisiert, hängt von der Art des Updates ab:

Update	Installiert sich selbst?
Sicherheits- und Wartungsupdates von WordPress	Ja, auf jeder Seite von Haus aus
Neue Hauptversionen von WordPress	Bei Seiten, die mit Version 5.6 oder später installiert wurden, von Haus aus ja. Ältere Seiten schalten es unter Dashboard › Aktualisierungen ein
Plugins und Themes	Nur, wenn du bei jedem auf „Automatische Aktualisierungen aktivieren“ klickst, möglich seit Version 5.5 vom August 2020
PHP	Nein, das aktualisiert dein Hoster

Die Konstante WP_AUTO_UPDATE_CORE in der wp-config.php steuert die Updates des Kerns: true für alle, 'minor' nur für Sicherheits- und Wartungsupdates und false für keine. WordPress rät ausdrücklich davon ab, sie abzuschalten.

Warum Tempo zählt

Die Sicherheitsfirma Patchstack hat gemessen, dass stark ausgenutzte Lücken in WordPress-Software etwa fünf Stunden nach ihrer Veröffentlichung zum ersten Mal angegriffen wurden. Automatische Updates schließen diese Lücke schneller als ein wöchentlicher Blick ins Dashboard. Wo die Lücken stecken, zeigt der Ratgeber Warum werden WordPress-Seiten gehackt?.

Auch PHP braucht Updates

PHP läuft unter jeder WordPress-Seite. Jede Version bekommt zwei Jahre volle Pflege und danach zwei Jahre nur noch Sicherheitsupdates. Diese Versionen pflegt php.net noch:

PHP-Version	Sicherheitsupdates bis
8.2	31. Dezember 2026
8.3	31. Dezember 2027
8.4	31. Dezember 2028
8.5	31. Dezember 2029

WordPress empfiehlt PHP 8.3 oder neuer. Es läuft zwar noch mit PHP 7.4, doch WordPress warnt selbst, dass so alte Versionen keine Sicherheitsupdates mehr bekommen. Wie schnell eine Lücke in PHP selbst geschlossen werden muss, zeigt der Fall PHP2Shell.

Was du tun kannst

Schalte automatische Updates für jedes Plugin und jedes Theme ein, in den Listen unter Plugins und Design › Themes.
Prüfe deine PHP-Version unter Werkzeuge › Website-Zustand › Bericht, im Abschnitt „Server“.
Bitte deinen Hoster um PHP 8.3 oder neuer, wenn deine Seite eine ältere Version nutzt. Teste die Seite danach.
Mach vor jedem Update ein Backup. WordPress rät, die Datenbank „immer vor einem Upgrade“ zu sichern.
Schau einmal pro Woche unter Dashboard › Aktualisierungen nach, ob etwas liegen geblieben ist.

Nächster Schritt

Der Ratgeber WordPress-Backups einrichten und testen zeigt, wie du eine Kopie bereithältst, die du nach einem misslungenen Update zurückspielen kannst.

Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 13. November 2026.