{"id":43310,"date":"2026-09-01T09:00:00","date_gmt":"2026-09-01T07:00:00","guid":{"rendered":"https:\/\/csw.agency\/?p=43310"},"modified":"2026-08-31T09:23:51","modified_gmt":"2026-08-31T07:23:51","slug":"wordpress-sicherheit","status":"publish","type":"post","link":"https:\/\/csw.agency\/en\/wordpress-security\/","title":{"rendered":"Keeping WordPress security under control permanently"},"content":{"rendered":"

WordPress-Sicherheit h\u00e4ngt vor allem an den Erweiterungen, die auf Eurer Website laufen. Der Kern selbst ist gut gepflegt \u2014 im Jahr 2025 wurden dort sechs Schwachstellen gemeldet, w\u00e4hrend 91 Prozent aller neuen L\u00fccken<\/strong> im WordPress-Umfeld aus Plugins stammten. Die wirksamen Hebel liegen also bei der Auswahl, der Pflege und der \u00dcberwachung dessen, was Ihr zus\u00e4tzlich installiert habt. Drei Bereiche entscheiden dabei \u00fcber das Ergebnis: das Update-Tempo, die Rechtevergabe und eine Wartung, die auch dann noch tr\u00e4gt, wenn niemand hinsieht.<\/p>\n

Die L\u00fccken sitzen in den Erweiterungen<\/h2>\n

Der Sicherheitsreport von Patchstack<\/a> z\u00e4hlt f\u00fcr das Jahr 2025 insgesamt 11.334 neue Schwachstellen<\/strong> im WordPress-\u00d6kosystem, 42 Prozent mehr als im Jahr davor. 91 Prozent davon entfielen auf Plugins, 9 Prozent auf Themes und sechs Meldungen auf den Kern von WordPress<\/a>. 1.966 Eintr\u00e4ge (17 Prozent) hatten einen hohen Schweregrad, und die Zahl der besonders leicht ausnutzbaren L\u00fccken stieg gegen\u00fcber dem Vorjahr um 113 Prozent. Bezahlte Erweiterungen schneiden dabei schlechter ab als kostenlose: 76 Prozent der in Premium-Komponenten gefundenen L\u00fccken waren praktisch ausnutzbar, und die Zahl der nachweislich ausgenutzten Schwachstellen lag dort dreimal so hoch wie bei den freien Gegenst\u00fccken. Ein Kaufpreis ist damit kein Qualit\u00e4tsmerkmal f\u00fcr Sicherheit. Wer die WordPress-Sicherheit seiner Website beurteilen will, schaut deshalb auf das Update-Verhalten des Anbieters und auf das Alter der letzten Version, nicht auf den Lizenzpreis.<\/p>\n

Der August 2026 liefert dazu die Praxisbeispiele. Am 29. August meldeten Sicherheitsforscher f\u00fcnf kritische L\u00fccken<\/a> in verbreiteten Erweiterungen, darunter GiveWP (CVE-2026-82222, CVSS 10.0), TranslatePress mit rund 400.000 Installationen und Pods mit rund 100.000. Zehn Tage vorher hatte Elementor die Version 4.2.2 ver\u00f6ffentlicht<\/a> und damit eine Upload-L\u00fccke geschlossen, \u00fcber die Angreifer ohne Anmeldung ausf\u00fchrbare PHP<\/a>-Dateien auf den Server bringen konnten \u2014 betroffen waren \u00fcber sechs Millionen aktive Installationen. Keines dieser Probleme lag im Kern, und in allen F\u00e4llen gen\u00fcgte ein Update, um die L\u00fccke zu schlie\u00dfen.<\/p>\n

F\u00fcnf Stunden Vorsprung, mehr ist es nicht<\/h2>\n

Nach der Offenlegung einer Schwachstelle vergehen im gewichteten Median f\u00fcnf Stunden<\/strong> bis zum ersten beobachteten Angriff. Rund die H\u00e4lfte der L\u00fccken mit hoher Wirkung wird binnen 24 Stunden ausgenutzt. Angreifer scannen daf\u00fcr breite Adressbereiche automatisiert nach der verwundbaren Version, was kleine Firmenseiten genauso trifft wie gro\u00dfe Portale. Die Gr\u00f6\u00dfe Eurer Website sch\u00fctzt Euch also nicht. Bei diesem Tempo tr\u00e4gt ein monatlicher Wartungstermin nicht mehr, und auch der klassische Ablauf aus Ticket, Freigabe und Deployment am n\u00e4chsten Werktag liegt hinter dem Angriffsfenster.<\/p>\n

Erschwerend kommt hinzu, dass sich ein Teil der L\u00fccken zum Zeitpunkt der Ver\u00f6ffentlichung noch gar nicht schlie\u00dfen l\u00e4sst: Bei 46 Prozent<\/strong> der Meldungen lag kein Update des Entwicklers vor. F\u00fcr diese F\u00e4lle bleibt nur, die betroffene Erweiterung zu deaktivieren, sie zu ersetzen oder den Angriffsweg \u00fcber eine Firewall zu blockieren, bevor er die Anwendung erreicht. Auf den Schutz des Hosters allein solltet Ihr Euch dabei nicht verlassen: Patchstack hat gemessen, dass die \u00fcblichen Abwehrmechanismen nur 26 Prozent der Angriffe blockierten, bei bereits bekannten Exploits<\/em> sogar nur 12 Prozent. Wie schnell aus einer Meldung ein automatisierter Massenscan wird, hat der Fall wp2shell zwingt WordPress Websites zum Update<\/a> im Juli 2026 gezeigt.<\/p>\n

\"WordPress-Sicherheit<\/figure>\n

Das Schaubild stellt die beiden Betriebsarten nebeneinander. Links l\u00e4uft die Wartung nach Kalender, die L\u00fccke bleibt offen und die Scanner sind l\u00e4ngst da. Rechts greifen automatische Updates innerhalb von Stunden, und die w\u00f6chentliche Kontrolle stellt nur noch fest, dass alles durchgelaufen ist.<\/p>\n

Zug\u00e4nge und Rechte enger ziehen<\/h2>\n

Der zweite Hebel sind die Konten und die Berechtigungen im System. Die offizielle WordPress-Dokumentation<\/a> beschreibt daf\u00fcr einen Satz an H\u00e4rtungsma\u00dfnahmen, die ohne zus\u00e4tzliche Software auskommen und in jeder Installation gleich funktionieren. Ihr Zweck ist die Schadensbegrenzung: Wenn eine Erweiterung doch einmal \u00fcberrannt wird, entscheidet die Rechtevergabe dar\u00fcber, ob ein Angreifer nur diese eine Komponente erreicht oder gleich die ganze Datenbank. Die Punkte lassen sich einmalig einrichten und m\u00fcssen danach nur bei \u00c4nderungen am Team oder am Hosting nachgezogen werden.<\/p>\n