WordPress blockiert jetzt automatisch risikoreiche Plugin-Updates

WordPress hat begonnen, automatisierte Sicherheitsüberprüfungen einzusetzen, um die Sicherheit von WordPress-Plugins zu erhöhen. Dabei wird jede Plugin-Veröffentlichung geprüft, bevor sie über die offizielle Update-API – den Dienst, der neue Plugin-Versionen an WordPress-Websites liefert – an Websites verteilt wird. Die Ankündigung stammt vom WordPress-Plugin-Repository-Team. Neue Plugins werden bereits vor der Aufnahme in das Verzeichnis überprüft, aber sobald ein Plugin gelistet ist, werden seine Updates danach kontinuierlich ausgeliefert. David Perez, Co-Leiter des offiziellen WordPress-Plugin-Repository-Teams, erklärte, dass ein Plugin heute sicher sein kann und in einer zukünftigen Version eine Schwachstelle oder bösartigen Code einführen kann. Ohne einen konsequenten Überprüfungsschritt zwischen dem Moment, in dem eine Veröffentlichung eingereicht wird, und dem Moment, in dem sie die nachgelagerten Nutzer erreicht, so die Plattform, könnten Angreifer schädlichen Code in ein Update einschleusen.

Die neue automatisierte Prüfung hat bereits echte Probleme aufgedeckt. WordPress gab bekannt, dass seine Überprüfung am 28. Juli 2026 eine Hintertür entdeckt hat, die in eine Veröffentlichung eines Plugins mit etwa 20.000 aktiven Installationen eingebaut wurde. Da sich diese Veröffentlichung noch in einem Cooldown-Fenster befand, wurde die kompromittierte Version nie über die WordPress.org-Update-API verteilt. Das Plugin wurde 26 Minuten, nachdem das Plugins-Team vom Sicherheitsunternehmen Wordfence über das Update informiert worden war, für Downloads geschlossen. WordPress nannte den Namen des Plugins nicht. Eine Hintertür ist eine versteckte Methode, die es einem Angreifer ermöglicht, in eine Website oder einen Server einzudringen, selbst nachdem das Plugin installiert wurde.

Seit dem 5. Juni 2026 durchläuft jedes WordPress-Plugin und -Theme eine Cooldown-Phase, bevor es über automatische Updates verteilt werden kann – Teil einer Initiative namens Protect The Shire. Der Cooldown dauert derzeit sechs Stunden, gegenüber 24 Stunden bei seiner Einführung. Diese Wartezeit sorgt für Verzögerungen, damit bösartige Updates Website-Betreiber nicht sofort erreichen. Das neueste Überprüfungssystem schließt eine weitere Lücke: Wenn eine Plugin- oder Theme-Veröffentlichung eine hohe Risikobewertung erhält, soll die Verteilung automatisch gestoppt werden, ohne dass jemand vom Plugins-Team eingreifen muss.

Während des Cooldowns analysiert WordPress.org die Änderungen in jeder Veröffentlichung mithilfe von KI-Modellen zusammen mit Jetpack Scan, einem Sicherheitsscandienst. Die Ergebnisse werden gegengeprüft und zu einer einzigen Sicherheitsbewertung zusammengefasst, wobei eine höhere Bewertung ein potenziell höheres Risiko bedeutet. Veröffentlichungen mit einer hohen Risikobewertung werden nach Abschluss der Überprüfung automatisch blockiert, während Veröffentlichungen unterhalb dieser Schwelle den normalen Prozess durchlaufen. Plugin-Einreicher erhalten nur dann eine E-Mail mit den Ergebnissen, wenn ein Plugin blockiert wird. WordPress weist außerdem darauf hin, dass eine hohe Risikobewertung nicht unbedingt böswillige Absicht bedeutet, da die Bewertung sowohl absichtlich eingeschleuste Malware als auch versehentlich eingeführte Sicherheitslücken umfasst.

Laut Perez sucht die Überprüfung nach denselben Schwachstellenklassen, die auch jedes Sicherheitsaudit suchen würde. Entwickler werden angehalten, die WordPress-Coding-Standards und die PHP_CodeSniffer (PHPCS)-Regeln zu befolgen, um ihren Code zu validieren und seine Qualität hoch zu halten. Für WooCommerce-Erweiterungen wird die Testplattform Quality Insights Toolkit (QIT) empfohlen. Muster, die die Risikobewertung erhöhen können, sind unter anderem REST-, AJAX- oder Admin-Post-Endpunkte ohne Berechtigungsprüfung, wobei ein Nonce allein nicht als Autorisierung akzeptiert wird; Datenbankabfragen, die ohne die Funktion $wpdb->prepare() erstellt werden; Dateipfade, Uploads, Löschungen oder Includes, die aus Anfragedaten erstellt werden; unserialize()-Aufrufe auf Anfragedaten oder Remote-Antworten; sowie Optionen, Benutzermetadaten oder Einstellungen, die von Endpunkten geschrieben werden, die für Abonnenten oder nicht authentifizierte Benutzer erreichbar sind. Code, der zur Laufzeit abgerufen oder ausgewertet wird, sowie Code, der verschleiert oder gepackt ist, kann die Bewertung ebenfalls erhöhen. In einfachen Worten: Eine Berechtigungsprüfung bestätigt, dass der aktuelle Benutzer die Erlaubnis für eine Aktion hat, während ein Nonce nur ein einmaliges Token ist, um bestimmte gefälschte Anfragen zu verhindern. Die prepare-Funktion verarbeitet Daten sicher, bevor sie in eine Datenbankabfrage eingefügt werden, und unserialize verwandelt einen gespeicherten Wert zurück in ein strukturiertes Objekt, was gefährlich wird, wenn die Eingabe aus einer nicht vertrauenswürdigen Anfrage oder Remote-Antwort stammt. Verschleierter Code ist so geschrieben, dass er verbirgt, was er wirklich tut.

Wenn eine Veröffentlichung blockiert wird, kann der Entwickler die Einschränkung nur aufheben, indem er die Ergebnisse überprüft, die Probleme behebt und eine neue Veröffentlichung herausgibt. Wenn die neue Veröffentlichung unter die Hochrisikoschwelle fällt, durchläuft sie den normalen Cooldown-Prozess. Wenn ein Ergebnis falsch erscheint, können Autoren das Plugins-Team kontaktieren, aber Perez fügte hinzu, dass das Team eine hohe Anzahl von Überprüfungen bearbeitet, sodass die Veröffentlichung einer korrigierten Version fast immer schneller ist als das Warten auf eine manuelle Überprüfung.

Für Website-Betreiber fügt diese Änderung eine zusätzliche Überprüfungsebene zwischen einem Plugin-Autor und Ihrer Live-Website hinzu, ersetzt aber nicht die routinemäßige Update-Hygiene. Lassen Sie automatische Updates nach Möglichkeit aktiviert, sichern Sie Ihre Website vor größeren Änderungen und entfernen Sie Plugins, die Sie nicht mehr verwenden. Diese Gewohnheiten in Kombination mit einem verwalteten WordPress-Host, der Staging und Überprüfung unterstützt, sind eine weitere praktische Absicherung, und AEU Hosting bietet genau diese Art von kontrolliertem Update-Workflow für WordPress-Websites.