Warum ein WordPress-Update nicht immer reicht

Wir prüfen mit SpotLens Firmenwebsites darauf, was Google und KI-Systeme wie ChatGPT dort vorfinden und wie gut die Seiten gegen Angriffe geschützt sind. Mehr als jede dritte Firmenwebsite in Deutschland läuft mit WordPress, dem am weitesten verbreiteten System, mit dem man Websites baut und pflegt.¹ Wird dort eine Sicherheitslücke bekannt, lautet der übliche Rat, die Software zu aktualisieren, und meistens genügt das auch.

Anfang Oktober ist ein Angriff beschrieben worden, bei dem es nicht genügt. Die Angreifer legen sich auf der Website einen zusätzlichen Administrator an, den man in der Benutzerliste nicht sieht, und dazu einen geheimen Anmeldelink. Beides bleibt bestehen, auch wenn die Lücke, über die sie hereingekommen sind, längst geschlossen ist.²

Ich erkläre in diesem Artikel, wie der Angriff abläuft und was unsere eigene Erhebung über den Stand der WordPress-Seiten in Deutschland sagt. Am Ende stehen drei Dinge, die du selbst nachsehen kannst, und eins, das dein Entwickler prüfen sollte.

Wie der Angriff abläuft

Fast jede WordPress-Seite nutzt Plugins. Das sind Erweiterungen, die man nachträglich installiert, etwa für ein Kontaktformular oder einen kleinen Shop. Beschrieben hat den Angriff Patchstack, ein Unternehmen, das Sicherheitslücken in WordPress-Plugins sammelt und Schutz dagegen verkauft. Genutzt wurden zwei Lücken in zwei verbreiteten Plugins.² Das eine ist das Formular-Plugin Ninja Forms, das laut WordPress.org mehr als 500.000 aktive Installationen hat.³ Das andere ist WPC Product Bundles for WooCommerce, eine Shop-Erweiterung mit mehr als 30.000 aktiven Installationen.⁴

Der Angreifer braucht dafür kein Passwort. Er schickt über ein Formular oder eine Bestellung ein Stück Programmcode mit, das die Website zusammen mit der Einsendung speichert. Sobald ein Administrator diese Einsendung später im Verwaltungsbereich der Website öffnet, läuft der Code in dessen Browser, und zwar mit dessen Rechten. Fachleute nennen das Stored XSS. Der Administrator muss dafür nichts Ungewöhnliches tun, es reicht, dass er sich die neuen Formulareinsendungen oder Bestellungen ansieht.²

Mit den Rechten des Administrators installiert der Code dann ein weiteres Plugin, das sich als Werkzeug für Vorschaubilder ausgibt. Er legt neue Administratorkonten an und richtet mehrere Zugänge ein, über die der Angreifer später wiederkommen kann.²

Zwei Hintertüren bleiben nach dem Update

Patchstack beschreibt vier solcher Zugänge. Einer davon ist ein gewöhnliches neues Administratorkonto, das in der Benutzerliste auftaucht und sich dort löschen lässt. Ein weiterer ist ein Dateimanager, der im falschen Plugin steckt.²

Die beiden übrigen Zugänge sind das eigentliche Problem. Der erste ist ein zweites Administratorkonto, das in der Benutzerliste nicht erscheint, auch nicht in der Zahl der Administratoren über der Liste. Versteckt wird es von einer Datei in einem besonderen Ordner, in dem WordPress sogenannte Must-Use-Plugins erwartet. Das sind Erweiterungen, die immer aktiv sind, in der normalen Plugin-Liste nicht stehen und sich im Verwaltungsbereich nicht abschalten lassen.⁵ Der zweite Zugang ist ein geheimer Anmeldelink, über den sich der Angreifer als der älteste Administrator der Website anmelden kann, ohne dessen Passwort zu kennen.²

Laut Patchstack schliesst das Entfernen des anfälligen Plugins oder sogar des schädlichen Plugins diese Zugänge nicht.² Wer nach der Meldung aktualisiert hat, hat also die Lücke geschlossen, über die der Angreifer hereingekommen ist. Die Zugänge, die er sich in der Zwischenzeit angelegt hat, sind trotzdem noch da.

Wie viele Websites betroffen sind, weiss niemand. Patchstack schreibt, die Zahl der Angriffe sei in den eigenen Messungen begrenzt, und die beiden Plugins seien nicht als vollständige Liste zu verstehen. Jede ähnliche Lücke, über die Code im Browser eines Administrators läuft, könne als Weg hinein dienen.² Diese Angaben stammen von einem Anbieter, der Schutz gegen genau solche Angriffe verkauft. Falsch werden sie dadurch nicht, aber man sollte es wissen, wenn man sie liest.

Bei der Hälfte der WordPress-Seiten fehlte schon das Update

Unsere eigene Erhebung zeigt, dass viele Firmenwebsites noch einen Schritt früher stehen. Im September hat unsere Audit-Software die Startseiten von 70.139 Firmenwebsites aus zwölf Branchen in Deutschland aufgerufen, ausführlich beschrieben im Artikel über die Erhebung. 26.601 dieser Websites liefen mit WordPress.¹

Bei 18.515 davon liess sich von aussen ablesen, welche WordPress-Version läuft, das sind 70 von 100 WordPress-Seiten.¹ WordPress schreibt die Versionsnummer in der Grundeinstellung unsichtbar in den Quelltext jeder Seite. Wer eine Lücke in einer bestimmten Version ausnutzen will, kann so ohne Aufwand nachsehen, welche Websites in Frage kommen.

Von diesen 18.515 Seiten lief bei 50 von 100 nicht die aktuelle Version von WordPress, genau waren es 9.322.¹ Bei 21 von 100 war es eine Version, die WordPress selbst als unsicher einstuft.¹ Beide Zahlen betreffen nur WordPress selbst. Welche Plugins auf den Seiten laufen und ob diese aktuell sind, haben wir nicht gemessen.

Gemessen haben wir vom 20. bis zum 22. September 2026.¹ Am 22. September ist mit WordPress 7.1.2 eine neue Version erschienen.⁶ Ein Teil der Seiten kann also nur um eine Version zurückgelegen haben, die wenige Tage alt war. Am 6. Oktober kam mit 7.1.3 bereits die nächste Sicherheitsversion, mit sieben geschlossenen Lücken.⁷ Am 21. Oktober folgte dann ein Update für PHP, also für die Technik, auf der WordPress läuft. Was es mit der PHP-Warnung des BSI auf sich hat, haben wir in einem eigenen Artikel beschrieben.

Auch bei den unsichtbaren Schutzanweisungen, die eine Website dem Browser mitschickt, stehen WordPress-Seiten schlechter da als der Durchschnitt. Von den WordPress-Seiten schicken 74 von 100 keinen der sechs verbreitetsten Security-Header mit, über alle Firmenwebsites hinweg sind es 60 von 100.¹ Was diese Anweisungen bewirken, hat Tommy Tietze in seinem Artikel zum Datenschutzbefund erklärt.

Was du selbst nachsehen kannst

Für die ersten drei Punkte brauchst du nur deinen Zugang zum Verwaltungsbereich deiner Website. Der vierte gehört zu dem, der deine Seite technisch betreut.

1. Läuft die aktuelle Version? Melde dich im Verwaltungsbereich an und öffne links „Dashboard" und darunter „Aktualisierungen". Dort steht, welche WordPress-Version läuft und ob neuere Fassungen bereitstehen. Die Seite listet WordPress selbst, die Plugins und das Theme, also die Designvorlage der Website, getrennt auf.
2. Laufen Updates automatisch? Unter „Plugins" hat die Liste eine Spalte für automatische Aktualisierungen. Dort lassen sie sich für jedes Plugin einzeln einschalten, und WordPress spielt sie danach in der Grundeinstellung zweimal am Tag selbst ein.⁸ Bei Plugins, an denen der Shop oder das Bewerbungsformular hängt, sprich das kurz mit deinem Entwickler ab, weil ein Update dort auch einmal etwas verschieben kann.
3. Gibt es Must-Use-Plugins? Auf derselben Seite erscheint über der Liste ein zusätzlicher Reiter „Must-Use", sobald solche Erweiterungen installiert sind. Viele Websites haben keine. Manche Hosting-Anbieter legen dort eigene Dateien ab, das ist normal. Steht dort etwas, das weder du noch dein Dienstleister erklären könnt, sollte es sich jemand ansehen. Auch wenn dort nichts Auffälliges steht, ersetzt das keine Prüfung durch deinen Entwickler.
4. Für deinen Entwickler oder deine Agentur. Läuft auf deiner Seite eines der beiden genannten Plugins, reicht das Update allein nicht. Patchstack empfiehlt, die Administratorkonten direkt in der Datenbank abzufragen und mit der Benutzerliste im Verwaltungsbereich zu vergleichen. Dazu kommt, den Ordner mu-plugins nach dem Inhalt der Dateien zu prüfen und nicht nach dem Datum, weil die Angreifer die Zeitstempel fälschen. Danach sollten alle Zugangsdaten der Administratoren erneuert werden, und das Passwort des ältesten Administrators gilt als bekannt.²

Das Bundesamt für Sicherheit in der Informationstechnik rät allgemein, Updates sofort oder zeitnah nach ihrer Veröffentlichung zu installieren, möglichst automatisch.⁹ Die Basistipps des BSI zu Updates (öffnet in neuem Tab) richten sich an Privatleute, der Grundsatz gilt für eine Website genauso, auch wenn die Kampagne von Anfang Oktober zeigt, dass er allein manchmal nicht reicht.

Wie wir Sicherheit und Datenschutz einer Website im Ganzen prüfen, steht auf unserer Seite zum Website-Sicherheitscheck. Wenn du wissen willst, wo deine eigene Startseite steht, prüf sie im kostenlosen Check, das dauert weniger als eine Minute.

Quellen

1. 70.139 Firmenwebsites in Deutschland 2026, SpotLens, Jordan Wichert, Stand 22. September 2026, Rohdaten als CSV und JSON unter CC BY 4.0. Kennzahlen wordpressVersionSichtbar, wordpressNichtAktuell, wordpressUnsicher und mindestensEinSecurityHeader Zurück zum Text Zurück zum Text Zurück zum Text Zurück zum Text Zurück zum Text Zurück zum Text Zurück zum Text

2. Four ways back in: the WordPress XSS campaign that hides its own admin account (öffnet in neuem Tab), Patchstack, 6. Oktober 2026, gelesen am 18. Oktober 2026 Zurück zum Text Zurück zum Text Zurück zum Text Zurück zum Text Zurück zum Text Zurück zum Text Zurück zum Text Zurück zum Text Zurück zum Text

3. Ninja Forms (öffnet in neuem Tab), Plugin-Verzeichnis von WordPress.org, Angabe der aktiven Installationen, gelesen am 18. Oktober 2026 Zurück zum Text

4. WPC Product Bundles for WooCommerce (öffnet in neuem Tab), Plugin-Verzeichnis von WordPress.org, Angabe der aktiven Installationen, gelesen am 18. Oktober 2026 Zurück zum Text

5. Must Use Plugins (öffnet in neuem Tab), WordPress Developer Resources, gelesen am 18. Oktober 2026 Zurück zum Text

6. WordPress News (öffnet in neuem Tab), WordPress.org, Eintrag „WordPress 7.1.2 Release" vom 22. September 2026, gelesen am 18. Oktober 2026 Zurück zum Text

7. WordPress 7.1.3 Maintenance and Security Release (öffnet in neuem Tab), WordPress.org, 6. Oktober 2026, gelesen am 18. Oktober 2026 Zurück zum Text

8. Plugins and themes auto-updates (öffnet in neuem Tab), WordPress.org Documentation, gelesen am 18. Oktober 2026 Zurück zum Text

9. Updates, Browser und Open Source Software (öffnet in neuem Tab), Bundesamt für Sicherheit in der Informationstechnik, Basistipps zur IT-Sicherheit, gelesen am 18. Oktober 2026 Zurück zum Text