501 neu offengelegte WordPress-Sicherheitslücken gemeldet

Zwischen dem 28. September und dem 4. Oktober 2026 offengelegte WordPress-Sicherheitslücken betrafen laut Wordfence Intelligence 367 Plugins und 9 Themes. Wordfence fügte seiner Schwachstellendatenbank für diese Woche 501 Einträge hinzu.

Wordfence berichtete, dass im selben Zeitraum 201 Schwachstellenforscher Erkenntnisse zur WordPress-Sicherheit beigetragen haben. Von den 501 Sicherheitslücken wurden 449 als gepatcht aufgeführt, während 52 zum Zeitpunkt ihrer Aufnahme weiterhin ungepatcht waren. Nach Schweregrad zählte Wordfence 20 kritische Sicherheitslücken, 174 Schwachstellen mit hohem Schweregrad, 306 Schwachstellen mit mittlerem Schweregrad und 1 Schwachstelle mit niedrigem Schweregrad. Für Website-Betreiber ist die praktische Botschaft eindeutig: Eine WordPress-Website kann gefährdet sein, selbst wenn nur ein installiertes Plugin oder Theme betroffen ist. Daher ist die Prüfung des tatsächlich eingesetzten Softwarebestands wichtiger, als nur auf den WordPress-Kern zu schauen.

Die häufigste Schwachstellenklasse der Woche war Cross-site scripting, eine Schwachstelle, durch die ein Angreifer eine Website dazu bringen kann, unerwünschten Code im Browser eines Besuchers auszuführen. Wordfence zählte 206 solcher Fälle. Weitere wichtige Kategorien waren 68 Fälle fehlender Autorisierung, bei denen die Software nicht prüft, ob ein Benutzer eine Aktion ausführen darf, 42 SQL-injection-Schwachstellen, bei denen unsichere Datenbankbefehle über Benutzereingaben ausgelöst werden können, 34 Fälle der Offenlegung sensibler Informationen und 30 Fälle der Deserialisierung nicht vertrauenswürdiger Daten, also eines riskanten Umgangs mit gespeicherten Daten, der je nach Anwendung manchmal zur Codeausführung führen kann.

Die kritischen Einträge zeigen, warum die Wartung von Plugins und Themes ein Thema für Hosting und Geschäftskontinuität ist und nicht nur eine Entwickleraufgabe. Wordfence listete gepatchte unauthentifizierte Remote-Code-Execution-Schwachstellen in AcyMailing bis einschließlich 11.0.5, Kirki bis einschließlich 6.3.1 und SiteSkite bis einschließlich 2.1.8 auf. Remote Code Execution bedeutet, dass ein Angreifer möglicherweise Befehle oder Code über die verwundbare Website ausführen kann. Wordfence listete außerdem gepatchte kritische Schwachstellen für Authentication Bypass oder Kontoübernahme in DevKit Pro bis einschließlich 2.3.0, Divi Membership bis einschließlich 2.3.0, JSON API Auth bis einschließlich 3.1.2, Ultimate Multisite bis einschließlich 2.15.0 und WPMobile.App bis einschließlich 11.82 auf.

Mehrere kritische Schwachstellen wurden als ungepatcht markiert. Wordfence listete Kognetiks Chatbot bis einschließlich 2.4.9 als von unauthentifiziertem Arbitrary File Upload betroffen, BackupSheep bis einschließlich 1.8 als von unauthentifizierter beliebiger Dateilöschung betroffen und Zombify bis einschließlich 1.7.7 als von unauthentifiziertem Arbitrary File Upload betroffen. Einfach gesagt kann eine Arbitrary-File-Upload-Schwachstelle einem Angreifer ermöglichen, eine Datei seiner Wahl auf einer Website abzulegen, während beliebige Dateilöschung es ihm ermöglichen kann, Dateien zu entfernen, die die Website benötigt. Für eine aktive Unternehmenswebsite kann jede dieser Schwachstellenklassen zu einem Problem für Verfügbarkeit, Integrität oder Wiederherstellung werden.

Einträge mit hohem Schweregrad umfassten sowohl unauthentifizierte als auch authentifizierte Angriffswege. Wordfence listete ungepatchte Schwachstellen mit hohem Schweregrad in WooCommerce Designer Pro bis einschließlich 1.9.33 auf, beschrieben als authentifizierte Remote Code Execution für Benutzer ab Abonnentenebene, Product Designer App bis einschließlich 1.1.3, beschrieben als unauthentifiziertes beliebiges Lesen von Dateien, WooCommerce Appointments bis einschließlich 5.3.2, beschrieben als unauthentifizierte SQL injection, und WooCommerce Lottery bis einschließlich 2.2.9, ebenfalls beschrieben als unauthentifizierte SQL injection. Der Bericht enthielt außerdem gepatchte SQL-injection-Schwachstellen mit hohem Schweregrad in Ajax Search Pro, EduAdmin Booking, Paytm Payment Gateway, Unlimited Elements for Elementor, WP BASE Booking of Appointments, Services and Events, WP Data Access und WP Visitor Statistics.

Wordfence erklärte, dass sein Threat-Intelligence-Team jede Schwachstelle auf Auswirkungen, Schweregrad und Ausnutzungswahrscheinlichkeit prüft und in dieser Woche eine neue Firewall-Regel bereitgestellt hat. Die Regel wurde als WAF-RULE-963 identifiziert, ihre technischen Details wurden jedoch geschwärzt, während Wordfence mit dem Anbieter an einem Patch arbeitete. Wordfence sagte, dass Premium-, Care- und Response-Kunden diesen Schutz sofort erhalten hätten, während Nutzer der kostenlosen Version ihn nach einer Verzögerung von 30 Tagen erhalten würden. Wordfence erklärte außerdem, dass Websites, auf denen sein Plugin mit aktivierter Prüfung läuft, bereits benachrichtigt worden sein sollten, wenn sie von den aufgeführten Sicherheitslücken betroffen sind.

Für Website-Betreiber besteht die Priorität darin, installierte Plugins und Themes mit den betroffenen Produkten und Versionen abzugleichen, anschließend gepatchte Software zu aktualisieren und ungepatchte Komponenten zu entfernen oder zu deaktivieren, wenn das Risiko inakzeptabel ist. Das ist besonders wichtig für Plugins, die Zahlungen, Buchungen, Mitgliedschaften, Datei-Uploads, Formulare, Backups, E-Commerce und Benutzerkonten verarbeiten, weil viele der aufgeführten Schwachstellen genau diese Arten von Website-Funktionen betreffen. Ein Plugin mit geringer sichtbarer Präsenz kann in WordPress dennoch hohe Rechte haben, wenn es Dateien lesen, Benutzer ändern, Formulare verarbeiten oder mit der Datenbank kommunizieren kann.

Für Organisationen, die WordPress-Härtung nicht allein verwalten möchten, ist AEU Hosting hier relevant, weil es Managed WordPress Hosting bietet, das durchgängig abgesichert ist. Das ersetzt nicht die Prüfung, ob ein bestimmtes verwundbares Plugin installiert ist, passt aber zu dem operativen Problem, das dieser Bericht hervorhebt: WordPress-Sicherheit hängt von der kontinuierlichen Wartung des gesamten Website-Stacks ab, einschließlich Erweiterungen von Drittanbietern.

Die sichere Reaktion besteht nicht darin, in Panik zu geraten oder jedes Plugin blind zu entfernen. Sie besteht darin, eine genaue Liste der installierten Software zu führen, verfügbare Updates einzuspielen, aufgegebene oder ungepatchte Komponenten auszumustern und Administratorkonten zu überprüfen, nachdem eine schwerwiegende Schwachstelle bei Authentifizierung, Rechteausweitung oder Datei-Upload auf einer Website aufgetreten ist.