Patchstack 2026: 11.334 WordPress-Sicherheitslücken – was das für Ihre Website bedeutet

Der jährliche State of WordPress Security Report von Patchstack ist erschienen – und die Zahlen sind ernüchternd. Im Jahr 2025 wurden 11.334 neue Sicherheitslücken im WordPress-Ökosystem entdeckt. Das entspricht einer Steigerung von 42 Prozent gegenüber dem Vorjahr. Gleichzeitig werden Angriffe immer schneller: 20 Prozent der aktiv ausgenutzten Lücken wurden innerhalb von sechs Stunden nach ihrer Veröffentlichung erstmals attackiert. Für Website-Betreiber – ob kleines Unternehmen oder etablierter Onlineshop – bedeutet das: reaktives Handeln reicht nicht mehr aus.

Was der Patchstack-Bericht 2026 konkret zeigt

Die Zahlen aus dem Patchstack-Bericht lesen sich wie ein Weckruf. Nicht nur die Menge der gefundenen Schwachstellen ist gestiegen; auch die Gefährlichkeit der einzelnen Lücken hat zugenommen. Hochriskante Sicherheitslücken mit hohem CVSS-Score haben sich im Vergleich zu 2024 mehr als verdoppelt – genau um 113 Prozent. Damit wurden 2025 mehr schwerwiegende Lücken entdeckt als in den beiden Vorjahren zusammengenommen.

Besonders besorgniserregend ist ein anderer Wert: 46 Prozent der Sicherheitslücken wurden öffentlich gemeldet, bevor ein Patch verfügbar war. Das bedeutet, dass fast jede zweite veröffentlichte Schwachstelle zunächst nicht gestopft werden konnte – und Angreifer genau in diesem Fenster zuschlagen.

Die Geschwindigkeit dieser Angriffe ist dramatisch gestiegen:

• 20 % der ausgenutzten Lücken wurden innerhalb von 6 Stunden nach Bekanntwerden attackiert
• 45 % innerhalb von 24 Stunden
• 70 % innerhalb von 7 Tagen

Der gewichtete Median bis zur ersten Ausnutzung liegt bei gerade einmal fünf Stunden. Wer auf Sicherheitsmeldungen wartet, um dann zu patchen, verliert das Rennen bereits.

Warum klassische Schutzmaßnahmen versagen

Ein zentrales Ergebnis des Berichts: Herkömmliche Sicherheitslösungen sind nicht für die aktuelle Bedrohungslage ausgelegt. In Pentesting-Tests blockierten klassische Web Application Firewalls (WAFs) und Hosting-seitige Schutzmaßnahmen nur 12 Prozent der Angriffe auf bekannt ausgenutzte Schwachstellen.

Der Grund liegt in der Art der häufigsten Angriffsvektoren. „Broken Access Control” – also fehlerhafte Zugriffskontrolle – macht 57 Prozent der Angriffe aus, die von modernen Lösungen wie Patchstacks RapidMitigate erfasst werden. Das Problem: Diese Angriffe sehen aus wie normaler, authentifizierter Traffic. Es gibt keine offensichtlichen SQL-Injection-Muster, keine verdächtigen Payloads – klassische Regel-Engines erkennen sie schlicht nicht.

Das ist eine fundamentale Verschiebung. Die alten Angriffe – Brute-Force, SQL-Injection, Cross-Site-Scripting mit erkennbaren Mustern – werden von gängigen Tools noch gut abgefangen. Die neuen Schwachstellen hingegen verstecken sich im normalen Betrieb der Anwendung selbst.

Was das für Ihre WordPress-Website bedeutet

Für den typischen WordPress-Nutzer – ein KMU-Betreiber, eine Agentur, ein Dienstleister – leiten sich aus dem Patchstack-Bericht konkrete Schlussfolgerungen ab:

1. Update-Verzögerungen sind keine Option mehr

Wenn 70 Prozent der Lücken innerhalb einer Woche ausgenutzt werden, ist eine wöchentliche Update-Routine nicht mehr ausreichend. Kritische Sicherheitsupdates müssen schnellstmöglich eingespielt werden – im Idealfall automatisiert oder mit einem Monitoring-Dienst, der sofort benachrichtigt.

2. Nur bekannte Plugins mit aktiver Wartung verwenden

46 Prozent der Lücken wurden veröffentlicht, ohne dass ein Patch bereit stand. Das passiert vor allem bei Plugins, deren Entwicklung stagniert. Wer Plugins mit langer Update-Pause oder ohne aktiven Maintainer im Einsatz hat, sollte diese konsequent ersetzen.

3. WAF allein reicht nicht

Da klassische Firewalls nur 12 Prozent der modernen Angriffe blockieren, braucht es zusätzliche Schutzschichten. Lösungen, die spezifische Schwachstellen-Signaturen kennen und virtuelle Patches einspielen können, sind einem rein regelbasierten Ansatz überlegen. Tools wie Patchstack oder Wordfence Premium bieten genau das.

4. Vulnerability Disclosure Programme (VDP) – bald Pflicht in der EU

Der Bericht weist darauf hin: Ab 2026 müssen alle kommerziellen WordPress-Plugins, die auf dem europäischen Markt vertrieben werden, ein VDP vorweisen – eine formale Anlaufstelle für Sicherheitsmeldungen. Das ist eine direkte Folge des EU Cyber Resilience Act. Für Plugin-Entwickler und Agenturen, die eigene Plugins pflegen, besteht hier dringender Handlungsbedarf.

Broken Access Control: Die unterschätzte Bedrohung

Besonderes Augenmerk verdient die häufigste Angriffsklasse: Broken Access Control. Der Begriff klingt technisch, aber das Prinzip ist einfach zu erklären. Eine Sicherheitslücke dieser Art bedeutet: Jemand hat Zugriff auf Dinge, die er nicht sehen oder verändern dürfte – ohne dabei irgendetwas zu hacken, das nach einem Angriff aussieht.

Konkrete Beispiele aus der Praxis:

• Ein Nutzer mit einfachen Autorenrechten kann Seiten löschen oder Einstellungen verändern, die nur Admins vorbehalten sein sollten
• Ein Formular-Plugin zeigt einem eingeloggten Abonnenten Daten anderer Nutzer an
• Eine REST-API-Endpoint gibt sensible Informationen zurück, wenn man ihn kennt – ohne Authentifizierung

Diese Lücken entstehen oft nicht durch schlechten Code im klassischen Sinne, sondern durch falsch gesetzte Berechtigungen oder unzureichend geprüfte Nutzereingaben bei privilegierten Aktionen. Sie sind schwer automatisiert zu finden und schwer pauschal zu blockieren.

Was Website-Betreiber jetzt konkret tun sollten

Der Patchstack-Bericht empfiehlt ein mehrschichtiges Sicherheitskonzept. Folgende Maßnahmen lassen sich sofort umsetzen:

• Automatische Updates für WordPress-Core aktivieren – zumindest für Minor-Updates und Sicherheits-Releases
• Regelmäßige Plugin-Audits durchführen: Welche Plugins sind aktiv? Werden sie noch gewartet? Gibt es ungepatchte CVEs?
• Rollenverwaltung prüfen: Haben alle Nutzerkonten wirklich die Berechtigungen, die sie benötigen – oder haben sich über die Zeit überflüssige Admin-Rechte angesammelt?
• Zwei-Faktor-Authentifizierung (2FA) für alle Admin-Konten aktivieren, insbesondere wenn mehrere Personen auf das Backend zugreifen
• Monitoring einrichten: Tools wie Query Monitor, Site Health Pro oder spezialisierte Security-Scanner melden ungewöhnliche Aktivitäten, bevor ein Schaden entsteht
• Backups testen: Nicht nur erstellen, sondern regelmäßig wiederherstellen – damit im Ernstfall keine bösen Überraschungen warten

WordPress bleibt sicher – wenn man es richtig pflegt

Es wäre falsch, den Patchstack-Bericht als Argument gegen WordPress zu lesen. Das CMS ist nicht grundsätzlich unsicher – aber es ist ein populäres Ziel, weil es 40 Prozent des Webs antreibt. Genau diese Skalierung macht es zur bevorzugten Angriffsfläche.

Das WordPress-Core-Team selbst hat eine gute Sicherheitsbilanz: Schwachstellen im Core werden in der Regel schnell und ohne großes Aufsehen behoben. Das Problem liegt in der Peripherie – bei den Tausenden Plugins und Themes im Ökosystem, die mit sehr unterschiedlicher Sorgfalt entwickelt und gepflegt werden.

Wer seine WordPress-Website professionell betreibt, kommt heute nicht mehr darum herum, Sicherheit als kontinuierlichen Prozess zu verstehen – nicht als einmalige Einstellung. Das bedeutet regelmäßige Updates, kluge Plugin-Auswahl, saubere Rollenverteilung und einen schnellen Reaktionspfad für den Fall der Fälle.

Fazit: Reaktives Handeln ist zu langsam

Fünf Stunden – so viel Zeit bleibt im Median, bevor eine bekannte Schwachstelle aktiv ausgenutzt wird. Das ist weniger als ein halber Arbeitstag. Wer Security-Updates nach dem Prinzip „ich schau nächste Woche drüber” handhabt, hat in der Hälfte der Fälle bereits verloren.

Als WordPress Agentur Frankfurt am Main unterstützen wir Unternehmen dabei, ihre WordPress-Präsenz nicht nur technisch sauber zu halten, sondern auch dauerhaft abgesichert zu betreiben – mit strukturierten Update-Prozessen, Plugin-Audits und dem richtigen Sicherheits-Stack für die jeweilige Anforderung. Sprechen Sie uns an, wenn Sie Ihre WordPress-Sicherheitsstrategie überprüfen oder professionalisieren möchten.

Quellen

• WordPress 7.0 “Armstrong” released — r/wordpress
• Fastest growing security issue in WordPress — Broken access control — r/wordpress
• Security/CVE report for April 2026 — r/wordpress