WordPress-Angriffe nehmen trotz weniger neuer Schwachstellen im Q2 2026 zu
Die von Wordfence gemessenen WordPress-Angriffe nahmen im Q2 2026 zu, obwohl die Zahl der neu veröffentlichten Schwachstellen sank. Das Unternehmen verzeichnete 10,4 Milliarden Requests, die von seiner Web Application Firewall (WAF), einem Tool zum Filtern schädlichen Website-Datenverkehrs, blockiert oder protokolliert wurden. Das waren 14,3 % mehr als im Vorquartal. Außerdem blockierte es 18,2 Milliarden brute-force attempts, bei denen Angreifer wiederholt Passwörter ausprobieren, um Zugriff zu erlangen. Dies entspricht einem Anstieg um 13,8 %. Diese Zahlen stammen aus der Telemetrie von Wordfence und beschreiben die Aktivitäten, die auf den von ihm geschützten Websites beobachtet wurden, nicht auf sämtlichen WordPress-Websites weltweit.
Wordfence fügte seiner Intelligence-Datenbank während des Quartals 2.073 Schwachstellen hinzu, 24,3 % weniger als im Q1 2026. Die Zahl der als high threat eingestuften Schwachstellen stieg jedoch um 15,2 % auf 182. Das Unternehmen beschreibt diese Kategorie als Schwachstellen, die wahrscheinlich von Angreifern ins Visier genommen werden und im Allgemeinen mit wenigen Voraussetzungen die vollständige Kompromittierung einer Website ermöglichen können. Weitere 357 Einträge wurden als common and dangerous eingestuft, ein Anstieg um 80,3 %. Wordfence erklärte, im Laufe des Quartals für die Behebung und Offenlegung von 47,4 % aller in seiner Datenbank erfassten Schwachstellen, 53,3 % der high-threat-Fälle und 32,2 % der common-and-dangerous-Fälle verantwortlich gewesen zu sein.
Am Ende des Q2 waren 149 der erfassten Schwachstellen noch nicht gepatcht. Die meisten der in diesem Zeitraum veröffentlichten Schwachstellen konnten ohne authentication ausgenutzt werden, sodass sich ein Angreifer nicht zuerst anmelden musste. Plugins machten den Großteil der betroffenen Software aus. Mit 600 Schwachstellen war cross-site scripting, wodurch eine Website unerwünschten Code im Browser eines Besuchers ausführen kann, die größte Kategorie. Dahinter folgten missing authorization checks mit 416 Fällen, während SQL injection, wodurch an die Datenbank einer Website gesendete Befehle manipuliert werden, 213 Fälle ausmachte. Wordfence zählte außerdem 121 cross-site request forgery-Schwachstellen, 103 Fälle von unsafe handling of stored data, 101 remote file inclusion-Schwachstellen, 87 sensitive-information exposures, 85 authorization bypasses using user-controlled identifiers, 76 path traversal-Schwachstellen und 51 unrestricted dangerous-file uploads.
Die WAF-Daten zeigen sowohl ein wachsendes Datenverkehrsvolumen als auch eine größere Bandbreite mutmaßlicher Quellen. Wordfence zählte 19,7 Millionen eindeutige IP-Adressen bei firewall-Angriffen, ein Anstieg um 16,7 %, sowie 72,9 Millionen eindeutige user agents, ein Plus von 263,7 %. Ein user agent ist die Identifikationsinformation, die Software zusammen mit einem Web-Request übermittelt; Angreifer können sie allerdings verändern. Der IP threat feed des Unternehmens blockierte 3,1 Milliarden Requests, 7 % weniger als zuvor, während die Zahl der eindeutigen Adressen auf seiner blocklist um 58,9 % auf 353.000 stieg. Wordfence veröffentlichte während des Quartals 16 WAF rules, 27,3 % weniger als im vorherigen Quartal. Die Telemetriedaten stammten von mehr als fünf Millionen geschützten Websites.
Die am stärksten angegriffene aufgeführte Schwachstelle war ein unauthenticated privilege-escalation-Problem in LiteSpeed Cache <= 6.3.0.1, das mit 49.711.496 blockierten Requests in Verbindung stand. privilege escalation bedeutet, Berechtigungen zu erhalten, die über das hinausgehen, was ein Account oder Besucher haben sollte. Darauf folgten mehrere anfällige Aktionen in WPGraphQL <= 0.2.3 mit 29.403.849 Requests sowie eine arbitrary file-upload-Schwachstelle in N-Media Post Front-end Form < 1.1 mit 23.130.942. Wordfence blockierte außerdem 12.610.278 Requests, die auf authentication bypass und privilege escalation in WooCommerce Payments 4.8.0 bis 5.6.1 abzielten, sowie 10.602.932 Requests gegen einen authorization bypass, durch den in SureTriggers <= 1.0.78 ohne authentication ein Administrator angelegt werden konnte.
Zu den weiteren häufig angegriffenen Einträgen gehörten die Offenlegung sensibler Informationen über eine ungeschützte REST API in Ninja Forms <= 3.5.7 mit 9.975.128 blockierten Requests sowie privilege escalation über einen ungeschützten REST API endpoint in Rank Math SEO <= 1.0.40.2 mit 7.110.040. Ein authorization bypass in POST SMTP Mailer, Email log, Delivery Failure Notifications and Best Mail SMTP for WordPress <= 2.8.7 zog 4.890.917 Requests auf sich. Missing authorization in Discount Rules for WooCommerce <= 2.0.2 war für 3.797.139 Requests verantwortlich. Ein arbitrary file-upload-Problem, das Benutzern auf Contributor-level oder höher in Envato Elements <= 2.0.10 und Template Kit <= 1.0.13 zur Verfügung stand, erzeugte 1.742.988 blockierte Requests.
Auch Passwortangriffe verteilten sich stärker. Wordfence beobachtete 106,2 Millionen eindeutige IP-Adressen, die an brute-force-Aktivitäten beteiligt waren, 55,9 % mehr als im vorherigen Quartal. Gleichzeitig sank die durchschnittliche Zahl der Requests pro Adresse um 27 % auf 171. Für Website-Betreiber unterstreicht diese Kombination den Nutzen von two-factor authentication (2FA), die zusätzlich zu einem Passwort einen zweiten Identitätsnachweis verlangt, sowie von einmalig verwendeten Passwörtern und Beschränkungen für wiederholte Anmeldeversuche.
Parallel zum Angriffsverkehr nahm auch die Erkennung von malware zu. malware ist Software oder Code, die beziehungsweise der auf einer Website platziert wird, um schädliche oder nicht autorisierte Aktionen auszuführen. Wordfence meldete 31,6 Millionen eindeutige malware-Dateien, ein Anstieg um 15,2 %, und erkannte malware auf 573.000 Websites, 21 % mehr als zuvor. Betroffene Websites wiesen im Durchschnitt 49,3 infizierte Dateien auf, 4,8 % weniger als zuvor, sowie 2,2 malware-Varianten, ein Rückgang um 7,8 %. Das Unternehmen veröffentlichte 85 malware-Signaturen, also Muster zur Erkennung schädlicher Dateien, 4,5 % weniger als im Q1. In seinem Bericht heißt es, dass schädliche PHP-Dateien häufig mit backdoors, webshells, Informationsdiebstahl und payment skimming verbunden sind, während Infektionen mit JavaScript und HTML häufig mit Spam zusammenhängen.
In der Praxis besteht die wichtigste Maßnahme darin, alle installierten Plugins und Themes zu erfassen, verfügbare Updates zeitnah anzuwenden und Software zu entfernen, die nicht verwendet wird oder ungepatcht bleibt. Website-Betreiber sollten Zugriffskontrollen wie 2FA mit regelmäßigen malware-Scans, Backups und der Überwachung unerwarteter Datei- oder Account-Änderungen kombinieren. Für Leser, die im Rahmen dieser Maßnahmen auch die Hosting-Ebene abdecken möchten, bietet AEU Hosting vollständig abgesichertes Managed WordPress Hosting an. Die Zahlen des Quartals zeigen, warum eine geringere Zahl veröffentlichter Schwachstellen nicht mit einem geringeren Betriebsrisiko gleichgesetzt werden sollte: high-threat-Schwachstellen, Exploit-Requests, Passwortangriffe und malware-Erkennungen nahmen im Datensatz von Wordfence allesamt zu.