· wordpress · In 6 min lesen

250+ neue WordPress-Sicherheitslücken pro Woche: Was Sie jetzt tun müssen

Plugin-Schwachstellen werden in 2026 schneller ausgenutzt als je zuvor. Die aktuellen Zahlen sind alarmierend – und zeigen, warum regelmäßige Updates allein nicht mehr ausreichen.

Plugin-Schwachstellen werden in 2026 schneller ausgenutzt als je zuvor. Die aktuellen Zahlen sind alarmierend – und zeigen, warum regelmäßige Updates allein nicht mehr ausreichen.

Die Zahlen sprechen eine klare Sprache: Im Jahr 2026 werden jede Woche mehr als 250 neue Sicherheitslücken in WordPress-Plugins entdeckt und gemeldet – das sind über 35 pro Tag. Und was noch beunruhigender ist: In vielen Fällen beginnen Angreifer innerhalb von nur fünf Stunden nach der öffentlichen Bekanntgabe einer Schwachstelle mit der aktiven Ausnutzung. Wer jetzt noch glaubt, gelegentliche Updates seien ausreichend, sollte diese Zahlen als Weckruf verstehen.

Die Dimension des Problems: 250+ Schwachstellen pro Woche

Eine Analyse des WordPress-Sicherheitsdienstleisters Webmastered vom Juni 2026 zeigt das volle Ausmaß der Situation: Von allen gemeldeten Plugin-Schwachstellen in 2026 sind 43 Prozent ohne jede Authentifizierung ausnutzbar – das heißt, ein Angreifer muss nicht einmal angemeldet sein, um einen Angriff durchzuführen. Gleichzeitig bleiben 23 Prozent aller Schwachstellen 30 Tage nach der Meldung noch immer ungepatcht.

Zum Vergleich: Im Jahr 2024 waren es rund 150 Schwachstellen pro Woche. Der Anstieg auf über 250 in 2026 ist nicht allein auf eine plötzliche Zunahme unsicherer Plugins zurückzuführen – er spiegelt auch eine reifere Sicherheitsforschung wider, die mehr Lücken findet. Doch für Website-Betreiber ändert das wenig an der praktischen Konsequenz: Die Angriffsfläche wächst schneller als die Reaktionsfähigkeit vieler Plugin-Entwickler.

Warum fünf Stunden entscheidend sind

Der State of WordPress Security Report 2026 von Patchstack belegt, dass der gewichtete Median zwischen der öffentlichen Bekanntgabe einer Schwachstelle und dem Beginn der ersten Massenausnutzung bei gerade einmal fünf Stunden liegt. Das bedeutet: Selbst wer sofort auf Update-Benachrichtigungen reagiert, ist in einem gefährlichen Zeitfenster exponiert.

Dieser Zeitdruck verändert die Anforderungen an WordPress-Sicherheit grundlegend. Manuelle Überwachung und verzögertes Patching – wie es in vielen kleinen Unternehmen und bei Einzelpersonen noch gang und gäbe ist – reicht in diesem Umfeld schlicht nicht mehr aus. Notwendig sind:

  • Automatische Plugin-Updates für alle nicht-kritischen Plugins
  • Virtuelle Patches durch eine Web Application Firewall, die bekannte Exploit-Muster bereits blockiert, bevor der offizielle Patch eingespielt ist
  • Aktives Monitoring für Schwachstellenmeldungen bei genutzten Plugins

Mehr als die Hälfte der Entwickler patcht nicht rechtzeitig

Ein besonders ernüchterndes Ergebnis aus dem Patchstack-Report: Mehr als die Hälfte der Plugin-Entwickler, denen eine Schwachstelle gemeldet wurde, hat diese nicht vor der öffentlichen Bekanntgabe gepatcht. Das bedeutet, dass bei vielen Schwachstellen-Veröffentlichungen noch gar kein Fix verfügbar ist – die Information geht gleichzeitig an Verteidiger und Angreifer.

Die Gründe sind vielfältig: fehlende Ressourcen bei kleinen Entwicklerteams, mangelndes Bewusstsein für Sicherheitsstandards und fehlende finanzielle Anreize für kostenlose Plugins. WordPress.org hat darauf mit der Initiative „Protect the Shire” reagiert, die unter anderem einen 24-stündigen Vorlaufpuffer für Plugin-Updates vor der automatischen Verteilung eingeführt hat. Das ist ein Schritt in die richtige Richtung – löst aber das strukturelle Problem nicht.

Welche Plugin-Typen besonders gefährdet sind

Nicht alle Plugins sind gleich riskant. Sicherheitsanalysen aus 2026 zeigen klare Muster bei den besonders häufig betroffenen Kategorien:

Formular-Plugins (Kontaktformulare, Datei-Uploads) sind ein häufiges Einfallstor, da sie nutzergenerierte Daten verarbeiten und komplexe Validierungslogik erfordern. Das Beispiel Ninja Forms File Upload (CVE-2026-0740, CVSS 9.8) mit rund 50.000 betroffenen Websites zeigt, wie schnell solche Lücken von Angreifern gefunden und ausgenutzt werden.

Customizer- und Page-Builder-Plugins bieten durch ihre Komplexität besonders viele Angriffsflächen. Lücken in weit verbreiteten Plugins dieser Kategorie haben in der Vergangenheit Hunderttausende von Websites gleichzeitig gefährdet und aktiven Exploit-Traffic innerhalb von Stunden nach der Bekanntgabe erzeugt.

E-Commerce-Erweiterungen sind besonders lukrativ für Angreifer, da sie Zahlungsdaten und persönliche Informationen verarbeiten. Hier wirken sich Sicherheitslücken direkt auf das Vertrauen der Kunden und auf rechtliche Compliance-Anforderungen aus.

SEO-Plugins haben durch ihre Integration in zentrale WordPress-Funktionen oft tiefgreifende Berechtigungen – eine Schwachstelle hier kann besonders weitreichende Konsequenzen haben, da diese Plugins regelmäßig Schreibzugriff auf wichtige Seitenstrukturen benötigen.

Der Supply-Chain-Angriff als neue Bedrohungsdimension

Neben klassischen Sicherheitslücken in einzelnen Plugins hat 2026 eine neue Angriffsmethode an Bedeutung gewonnen: koordinierte Supply-Chain-Angriffe auf das WordPress-Plugin-Repository. Im April 2026 wurden innerhalb von 72 Stunden mehr als 25 Plugins auf WordPress.org kompromittiert, indem Angreifer Entwicklerkonten übernahmen und Backdoors in legitime Plugins einschleusten. Schätzungsweise 800.000 Websites waren betroffen.

Dies zeigt, dass selbst Plugins, die Sie aus vertrauenswürdigen Quellen wie dem offiziellen WordPress-Repository beziehen, nicht automatisch sicher sind. Regelmäßige Dateiintegritätsprüfungen und ein Monitoring auf unerwartete Änderungen in Plugin-Dateien sind daher unverzichtbar.

Besonders heimtückisch bei diesen Angriffen ist die Verwendung des mu-plugins-Verzeichnisses: Malware, die dort abgelegt wird, wird bei jedem Seitenaufruf automatisch ausgeführt und erscheint nicht in der normalen Plugin-Übersicht im WordPress-Dashboard. Viele Administratoren entdecken solche Backdoors wochenlang nicht.

Sieben konkrete Maßnahmen für mehr Sicherheit

Angesichts dieser Lage empfehlen Sicherheitsexperten folgende Maßnahmen, die Sie sofort umsetzen können:

  1. Plugin-Inventar durchführen: Welche Plugins sind aktiv? Welche werden tatsächlich genutzt? Deaktivieren und löschen Sie alle ungenutzten Plugins – deaktiviert bedeutet nicht sicher, da die Dateien weiterhin auf dem Server liegen.

  2. Automatische Updates aktivieren: Für alle Plugins, bei denen kein spezieller Kompatibilitätstest erforderlich ist, sollten automatische Updates eingeschaltet sein. In Kombination mit einer Testumgebung können Sie Updates so schnell wie möglich einspielen.

  3. Web Application Firewall einsetzen: Dienste wie Patchstack oder Wordfence bieten virtuelle Patches, die Exploit-Versuche bereits blockieren, bevor der offizielle Patch verfügbar ist. Das schließt das kritische Fünf-Stunden-Fenster.

  4. Zwei-Faktor-Authentifizierung für alle Admin-Accounts: Die meisten Angriffe auf WordPress-Admin-Bereiche beginnen mit gestohlenen oder schwachen Zugangsdaten. 2FA macht Brute-Force-Angriffe und Credential-Stuffing praktisch wirkungslos.

  5. Datei-Monitoring einrichten: Tools wie Sucuri oder Wordfence können unerwartete Änderungen an Plugin-Dateien und im mu-plugins-Verzeichnis erkennen – ein wichtiges Frühwarnsignal für eine mögliche Kompromittierung.

  6. Regelmäßige Backups mit Offline-Kopie: Im Falle einer Kompromittierung ist eine saubere Backup-Kopie das wichtigste Werkzeug zur Wiederherstellung. Stellen Sie sicher, dass Backups außerhalb des Webservers gespeichert und regelmäßig auf ihre Wiederherstellbarkeit getestet werden.

  7. Schwachstellen-Monitoring abonnieren: Newsletter und Benachrichtigungsdienste von Patchstack oder Wordfence informieren Sie über neue Schwachstellen in Ihren installierten Plugins, oft bevor der Angriffsdruck groß wird.

WordPress bleibt sicher – wenn man es richtig betreibt

Es wäre falsch, aus diesen Zahlen den Schluss zu ziehen, WordPress sei grundsätzlich unsicher. WordPress-Core selbst weist deutlich seltener kritische Schwachstellen auf als das Plugin-Ökosystem. Die Herausforderung liegt in der schieren Masse von über 60.000 verfügbaren Plugins, von denen viele von kleinen Teams oder Einzelpersonen entwickelt und gepflegt werden.

Entscheidend ist der Betrieb: Eine professionell gewartete WordPress-Installation mit einem durchdachten Sicherheitskonzept ist deutlich widerstandsfähiger als eine vernachlässigte Installation mit veralteten Plugins und schwachen Zugangsdaten. Die gute Nachricht: Die meisten erfolgreichen Angriffe hätten durch grundlegende Sicherheitsmaßnahmen verhindert werden können.

Als WordPress-Agentur Frankfurt am Main unterstützen wir Unternehmen dabei, ihre WordPress-Websites professionell zu betreiben und zu schützen – von der regelmäßigen Wartung über Sicherheits-Audits bis hin zur Notfallhilfe bei Kompromittierungen. Wenn Sie wissen möchten, wie gut Ihre WordPress-Installation heute aufgestellt ist, sprechen Sie uns gerne an.

Quellen

Share:
Back to Blog