Entgegen der Standardkonfiguration wird bei den von SaaS Web gemanagten WordPress-Instanzen das Auto-Update ausgeschaltet. Denn wir bei SaaS Web nehmen Management ernst, da darf nichts automatisch ohne unser Zutun passieren…

Diese Konfigurationszeile kann man in der wp-config.php Datei hinzufügen:
define( 'AUTOMATIC_UPDATER_DISABLED', true );

Hier der Original-Bericht über den Fehler, der inzwischen gefixt wurde:
https://www.wordfence.com/blog/2016/11/hacking-27-web-via-wordpress-auto-update/
Bzw. hier der Heise-Bericht:
http://www.heise.de/newsticker/meldung/Kardinalfehler-im-WordPress-Update-Server-27-Prozent-aller-Webseiten-sollen-gefaehrdet-gewesen-sein-3496780.html