Zum Hauptinhalt springen
How Can We Help?
< All Topics

Wer die typischen Angriffsvektoren kennt, setzt Sicherheitsmassnahmen dort an, wo sie wirklich wirken. WordPress-Core ist ausgesprochen sicher. Das Risiko steckt fast vollständig im Ökosystem aus Plugins und Themes sowie in Zugangsdaten und Hosting.

Zahlen, die die Prioritäten setzen

  • Laut Patchstack wurden 2025 11’334 neue Schwachstellen im WordPress-Ökosystem veröffentlicht, rund 42 % mehr als im Vorjahr.
  • Etwa 91 % davon betrafen Plugins, der Rest Themes. Im Core gab es nur zwei.
  • Rund 46 % hatten zum Zeitpunkt der Veröffentlichung noch keinen Patch.
  • Ein grosser Teil (im ersten Halbjahr 2025 rund 58 %) ist ohne Login ausnutzbar.
  • Cross-Site Scripting (XSS) macht rund 40 % der Meldungen aus.

Angreifer scannen nach einer Veröffentlichung oft innerhalb weniger Stunden automatisiert nach verwundbaren Installationen. Die Zeit zwischen Disclosure und Patch ist das gefährlichste Fenster.

Die häufigsten Angriffsvektoren

  1. Verwundbare Plugins/Themes: XSS, SQL-Injection, fehlende Berechtigungsprüfungen (Broken Access Control), CSRF, beliebige Datei-Uploads, Privilege Escalation.
  2. Kompromittierte Zugangsdaten: Credential Stuffing mit geleakten Passwörtern, Brute Force auf wp-login.php und XML-RPC, Phishing von Admins.
  3. Supply Chain: Übernommene oder verkaufte Plugins mit eingeschleustem Code, „nulled“ Premium-Plugins mit Backdoors, kompromittierte Entwickler-Accounts.
  4. Hosting und Server: Veraltete PHP-Versionen, fehlende Isolation auf Shared Hosting, offene Dienste, gestohlene FTP/SFTP-Zugänge.
  5. Fehlkonfiguration: Öffentliche Backups, debug.log oder .git-Verzeichnisse, Admin-Accounts für Dienstleister, die nie entfernt wurden.
  6. KI-Integrationen: Neue Angriffsfläche durch Prompt Injection, schlecht abgesicherte MCP-Server und offen liegende API-Keys (siehe Kategorie WordPress & KI).

Was Angreifer wollen

  • SEO-Spam und Weiterleitungen (Pharma, Casino, Fake-Shops)
  • Skimmer in WooCommerce-Checkouts
  • Phishing-Seiten und Malware-Hosting
  • Ressourcen für Botnetze, Spamversand oder Krypto-Mining
  • Zugang zu Kunden- und Bestelldaten

Konsequenzen für die Priorisierung

  1. Plugin-Anzahl minimieren und nur gepflegte Plugins einsetzen.
  2. Updates schnell einspielen; für Lücken ohne Patch virtuelles Patching (WAF) nutzen.
  3. Starke Authentifizierung mit 2FA/Passkeys.
  4. Schwachstellen-Monitoring (Patchstack, Wordfence Intelligence, WPScan) für die eingesetzten Plugins.
  5. Getestete Backups, falls trotzdem etwas passiert.

Weiterführende Artikel

Quellen und Dokumentation

Schlagwörter: