Jeden Montag: die Sicherheitsmeldung der Woche

Sicherheitslücken in WordPress-Plugins werden laufend veröffentlicht – nach dem
Patchstack-Jahresbericht 2025 waren es über 11.000 in einem einzigen Jahr, 91 Prozent
davon in Erweiterungen. Für Betreiber einer normalen Firmenwebsite ist das unmöglich zu
verfolgen. Deshalb gibt es hier ab sofort montags eine kurze Zusammenfassung.

Was in einer Meldung steht

• Welches Plugin betroffen ist und ab welcher Version es behoben ist
• Wie kritisch die Lücke ist – in verständlicher Sprache, nicht nur
  als CVSS-Zahl
• Betrifft Sie, wenn … – eine kurze Prüfliste zum Abhaken
• Was zu tun ist – meistens „aktualisieren“, manchmal mehr

Keine Panikmache und keine Meldung zu einem Plugin, das ohnehin niemand einsetzt.
Berücksichtigt werden Erweiterungen mit nennenswerter Verbreitung – also die, die
tatsächlich auf Unternehmenswebsites laufen.

Wie Sie selbst nachsehen können

Sie müssen nicht auf mich warten. So prüfen Sie Ihre eigene Installation:

1. Melden Sie sich in WordPress an und öffnen Sie Plugins → Installierte Plugins.
2. Notieren Sie alle Plugins, bei denen ein Update angeboten wird – und alle, die seit
   über einem Jahr kein Update bekommen haben.
3. Suchen Sie den Plugin-Namen zusammen mit dem Wort „vulnerability“ in einer der
   öffentlichen Datenbanken, etwa bei Patchstack oder im WPScan-Verzeichnis.
4. Löschen Sie deaktivierte Plugins vollständig. Ein deaktiviertes Plugin ist nicht
   sicher – seine Dateien liegen weiterhin auf dem Server und sind teils direkt
   aufrufbar.

Der letzte Punkt wird am häufigsten übersehen und ist gleichzeitig der einfachste.

Warum Aktualisieren allein nicht reicht

Zwischen der Veröffentlichung einer Lücke und den ersten automatisierten Angriffen
liegen im Mittel etwa fünf Stunden. Ein Update, das Sie am Wochenende einspielen, kommt
für eine am Donnerstag veröffentlichte Lücke zu spät. Genau deshalb arbeite ich in der
laufenden Betreuung mit virtuellem Patching: Die Firewall blockiert den bekannten
Angriffsweg, bis das eigentliche Update da und getestet ist. Mehr dazu steht auf der
Seite WordPress absichern.