WordPress-Update-Verzögerung lässt Sicherheitsfixes sechs Stunden zu spät kommen

Eine WordPress-Update-Verzögerung, die als 24-stündige Sperre für Plugin- und Theme-Veröffentlichungen begann, wurde auf etwa sechs Stunden reduziert, aber Sicherheitsfixes warten immer noch in derselben Warteschlange wie Routineänderungen, so Messungen von Patchstack. WordPress.org führte die Richtlinie namens Protect The Shire am 5. Juni 2026 ein. Sie gilt für etwa 78.000 Plugins und Themes im WordPress.org-Verzeichnis. Nach der Richtlinie wartet jede neue Veröffentlichung, bevor sie über den Update-Mechanismus ausgeliefert wird, und die Wartezeit betrifft sowohl automatische Updates als auch den manuellen „Jetzt aktualisieren“-Button, da beide durch dieselbe Uhr gesteuert werden.

Patchstack verließ sich nicht auf die eigene Darstellung von WordPress.org zur Sperre. Stattdessen maß das Unternehmen sie direkt. Die täglichen Median-Gate-Zeiten blieben vom 7. bis 15. Juli stabil bei etwa 24,2 bis 24,5 Stunden und fielen dann ab dem 16. Juli stark auf etwa 6,6 bis 6,8 Stunden. Das war eine Änderung an einem einzigen Tag ohne allmähliche Übergangsphase, sichtbar bei Hunderten von Veröffentlichungen pro Tag. Die Sicherheitsbegründung für die Sperre ist einfach: Plugins wurden an neue Eigentümer verkauft, die heimlich Hintertüren einbauen, und KI-gestützte Entwicklung erleichtert es, bösen Code unbemerkt in eine Veröffentlichung einzuschleusen. Eine Pause, bevor eine Veröffentlichung jede Website erreicht, ist eine sinnvolle Reaktion auf dieses Lieferkettenrisiko.

Protect The Shire scheint gegen Lieferkettenangriffe zu helfen. Am 28. Juli entdeckte Wordfence eine gepflanzte Hintertür im Plugin Advanced Responsive Video Embedder, das etwa 20.000 Installationen hat. Der bösartige Code wurde zwei Stunden nach seiner Veröffentlichung erkannt und erhielt die CVE-2026-18072 mit einem CVSS-Schweregrad von 9,8, was eine vollständige Übernahme durch Administratoren über eine einzige Anfrage ermöglicht. WordPress.org zog das Plugin am selben Tag zurück, und es wurde noch nicht weit über Auto-Update verbreitet. Patchstack kann nicht beweisen, dass die Sperre die Rettung bewirkte, aber der Zeitpunkt ist konsistent mit der Wirkung der Richtlinie. Dennoch stellt Patchstack fest, dass dies ein dokumentierter Fall ist, kein Muster, und der reduzierte Schadensradius ist klein im Vergleich zu der Exposition, die dieselbe Richtlinie derzeit erzeugt.

Das Problem ist, dass bösartige Veröffentlichungen und offengelegte Schwachstellen unterschiedliche Bedrohungen sind, aber Protect The Shire behandelt sie identisch. Patchstack verfolgte 114 behobene Veröffentlichungen und stellte fest, dass Plugin- und Theme-Updates um einen Median von 24,4 Stunden zurückgehalten wurden. Das Unternehmen prüfte speziell, ob offengelegte Sicherheitsfixes schneller freigegeben wurden als Routineveröffentlichungen. Das taten sie nicht. Bestätigte Sicherheitsveröffentlichungen und gewöhnliche Updates warteten beide etwa 24,4 Stunden vor dem 16. Juli und etwa 6,8 Stunden danach. In einem 17-Tage-Fenster durchliefen 81 Veröffentlichungen, die eine offengelegte CVE patchen, diese Verzögerung, 49 unter dem alten 24-Stunden-Fenster und 32 unter dem kürzeren. Diese Veröffentlichungen betrafen 79 verschiedene Plugins mit einer kombinierten Installationsbasis von etwa 9,9 Millionen. Dreißig der Fixes wurden mit CVSS 7.0 oder höher bewertet, neun mit 9.0 oder höher, und einer war eine perfekte 10.0 für willkürliche Dateilöschung. Patchstack betont, dass die kombinierte Installationsbasis die Installationszahlen dieser Plugins beschreibt, nicht bestätigte anfällige Websites, und eine manuelle Neuinstallation kann die Verzögerung vollständig umgehen.

Zwei konkrete Beispiele zeigen, wie das in der Praxis aussieht. Die Plugin-Seite von AcyMailing und seine Plugin-Informations-API zeigten beide Version 10.11.1, den Fix für eine nicht authentifizierte SQL-Injection, während die Update-Check-API weiterhin Version 10.11.0, die anfällige Version, auslieferte. Das Page View Count Plugin machte dasselbe: Seine Seite zeigte Version 2.9.2, aber der Update-Check blieb auf 2.9.1, der Version mit einem Fehler bei der Einstellungsänderung mit niedrigeren Rechten. Ein dritter Fall, contact-form-7-mailchimp-extension, verfolgt als CVE-2026-15000 für gespeichertes Cross-Site-Scripting, wurde 24,5 Stunden lang zurückgehalten. Patchstack fand keine Hinweise auf aktive Ausnutzung während dieser Gate-Fenster, bemerkte jedoch eine wichtige Umkehrung: Die eine Schwachstelle, die sie in diesem Zeitraum aktiv ausgenutzt sahen, war ein WordPress-Core-Problem, dessen Fix bereits automatisch aktualisierbar war, sodass die Verzögerung es nicht erfasste.

Die Geschwindigkeitslücke ist eklatant. Patchstack weist darauf hin, dass die mittlere Zeit bis zur Massenausnutzung stark ausgenutzter Schwachstellen fünf Stunden beträgt. Für eine kritische WordPress-Core-Schwachstelle, die Patchstack im Juli offenlegte, begannen echte Ausnutzungsversuche 90 Minuten nach der Veröffentlichung der gepatchten Version und drei Stunden nach dem Commit des Fixes. Core-Updates sind nicht so gesperrt wie Plugin-Updates, aber die Lektion überträgt sich: Sobald ein Fix öffentlich ist, brauchen Angreifer Minuten statt Stunden. Das Problem vergrößert sich für Agenturen und Hoster, die WordPress in großem Maßstab verwalten. Ihre Tools sitzen auf demselben Update-Mechanismus, den WordPress.org gesperrt hat. Wenn die darunterliegende Schicht sechs Stunden lang blind für einen Fix ist, ist auch das Tool, das schneller arbeiten soll, blind. Für ein Hosting-Unternehmen bedeutet das eine sechsstündige Blindstelle auf jedem Kundenkonto, das das betroffene Plugin ausführt, nicht nur auf einer Website.

Patchstack empfiehlt, bestätigte Schwachstellen-Fixes von der Sperre auszunehmen oder sie durch denselben Überprüfungsprozess zu beschleunigen. Derzeit unterscheidet WordPress.org nicht zwischen Sicherheitsfixes und Routine-Updates. Website-Besitzer sollten nicht davon ausgehen, dass Update-Tools die Lücke schließen, da viele Tools auf dieselbe API angewiesen sind, die derzeit der Engpass ist. Patchstack stellt auch fest, dass das manuelle Neuinstallieren eines Plugins oder das direkte Herunterladen der ZIP-Datei die Wartezeit umgeht. Für Website-Besitzer und IT-Teams kann die Nutzung eines verwalteten WordPress-Hosts, der Updates und Sicherheitswartung außerhalb der normalen Update-Check-Warteschlange übernimmt, dieses Risiko verringern. AEU Hosting, die verwaltete WordPress-Plattform der AEU Group, ist darauf ausgelegt, WordPress-Installationen aktualisiert und überwacht zu halten, sodass Besitzer weniger Zeit mit der manuellen Überprüfung verzögerter Plugin-Updates verbringen. Patchstack bietet Hosting-Partnern jetzt 30 Tage lang kostenlosen Schutz zum Selbstkostenpreis an, sodass Schwachstellen abgedeckt werden, wenn sie erkannt werden, nicht wenn der Update-Check aufholt. Ein Vorsprung sollte nicht dem Angreifer gehören. Sechs Wochen lang war es ein ganzer Tag, und jetzt sind es sechs Stunden, was immer noch länger ist, als Angreifer typischerweise benötigen, um mit der Ausnutzung eines öffentlichen Fixes zu beginnen.