In einer Leitstelle hängt die Lage an der Wand: Was ist gerade los, was brennt, was kommt als Nächstes. Genau das zeigt diese Seite für WordPress-Websites. Die Zahlen kommen aus öffentlichen Quellen wie der US-Schwachstellendatenbank NVD, der Cybersicherheitsbehörde CISA, dem BSI und wordpress.org. Sie werden jede Stunde neu abgerufen und hier auf Deutsch zusammengefasst.
Stand 07.10.2026, 14:57 Uhr · stündlich aktualisiert · Quellen: NVD, CISA, FIRST, BSI, wordpress.org, endoflife.date
WordPress selbst betroffen Sicherheitsupdate für den WordPress-Kern
- Code-Ausführung auf dem Server, ohne Anmeldung, Schwere 8,1, behoben in 7.1.2 · gemeldet 22.09.2026 · CVE-2026-87902wird ausgenutzt
Prüfen Sie im Dashboard unter „Aktualisierungen“, ob Ihre Website mindestens auf 7.1.3 steht. Ältere Hauptversionen haben eigene Korrekturversionen bekommen, siehe Versionsübersicht. Automatische Hintergrund-Updates spielen sie meist von selbst ein, aber nicht, wenn sie abgeschaltet sind.
zuletzt aktiv ausgenutzt WordPress: Code-Ausführung auf dem Server, bei der CISA gelistet seit 25.09.2026. Details
Gibt es aktuell Störungen bei WordPress?
WordPress selbst kann nicht „ausfallen“ wie ein Onlinedienst: Die Software läuft auf dem Server Ihres Hosters, nicht bei wordpress.org. Wenn Ihre Website gerade streikt, liegt es fast immer an einer von vier Stellen. In dieser Reihenfolge prüfe ich das auch bei Kunden:
- Der Hoster ist gestört. Website, Kundenlogin oder Mailserver antworten nicht. Ob Ihr Anbieter gerade Probleme hat, zeigt der Hoster-Status, alle fünf Minuten gemessen.
- Ein Update ist schiefgegangen. Typisch sind die Meldung „Es gab einen kritischen Fehler auf deiner Website“ oder eine Website, die im Wartungsmodus hängen bleibt.
- Eine Lücke wird gerade ausgenutzt. Wenn ein verbreitetes Plugin angegriffen wird, trifft es viele Websites gleichzeitig. Was nachweislich angegriffen wird, steht in der Liste der aktuellen Sicherheitslücken.
- Die Dienste von wordpress.org sind gestört. Das betrifft nur Updates, das Plugin-Verzeichnis und die Anmeldung bei WordPress.com, nicht Ihre laufende Website. Solche Störungen sind selten und meist nach Minuten vorbei.
Passt nichts davon, hilft die Diagnose nach Fehlerbild weiter. Oder Sie schildern mir das Problem über die Soforthilfe.
Was die Anzeigen bedeuten
Sicherheitslücken: Jede Woche werden mehrere Hundert neue Lücken in WordPress-Plugins und -Themes gemeldet. Die meisten betreffen kleine Erweiterungen und werden nie angegriffen. Einige wenige werden innerhalb von Stunden massenhaft ausgenutzt. Der Ausnutzungs-Alarm trennt beides: Was wird nachweislich angegriffen, wo ist Angriffscode öffentlich, und gibt es schon ein Update?
WordPress-Version: Offiziell gepflegt wird nur die neueste Hauptversion. Die Versions-Übersicht zeigt, welche Version aktuell ist, wie viele Websites noch auf älteren Versionen laufen und bis wann die älteren Zweige Korrekturen bekommen haben.
PHP: WordPress läuft auf PHP, der Programmiersprache auf dem Server. Jede PHP-Version bekommt nur für eine begrenzte Zeit Sicherheitsupdates, danach bleibt jede neu entdeckte Lücke offen. Der PHP-Countdown zeigt, wie lange Ihre Version noch sicher ist.
Hoster-Status: Ist die Website weg, weil der Hoster gestört ist? Der Hoster-Status prüft alle fünf Minuten Website, Kundenlogin, Webmail, Mailserver und Nameserver von zwölf Hostern, darunter IONOS, Strato, Hetzner, All-Inkl und Mittwald.
Warum ich das zeige
Ich betreue WordPress-Websites von Vereinen, Schulen und kleinen Unternehmen. Die Frage, die ich am häufigsten höre, lautet: „Ist das wirklich so dringend?“ Diese Seite ist die Antwort in Zahlen. Sie zeigt nicht, was passieren könnte, sondern was gerade passiert.
Wer die Liste nicht jede Woche selbst lesen will: In der WordPress-Wartung gleiche ich jede neue Lücke mit den Plugins meiner Kunden ab und spiele Updates ein, bevor die Angriffswelle kommt.
Methodik und offene Daten
- Sicherheitslücken: alle Einträge der NVD mit WordPress-Bezug der letzten 90 Tage, dazu alle Meldungen von Patchstack als meldender Stelle. Ausnutzungsstand aus dem CISA-Katalog Known Exploited Vulnerabilities und der CISA-Einschätzung (SSVC), Wahrscheinlichkeit aus dem EPSS-Modell von FIRST, Verbreitung und aktuelle Version aus dem Plugin-Verzeichnis von wordpress.org, deutsche Warnungen aus dem Warn- und Informationsdienst des BSI.
- Versionen: Statistik-Schnittstelle von wordpress.org (Anteil aller Websites, die sich dort melden) und endoflife.date.
- Grenzen: Kauf-Plugins, die nicht im offiziellen Verzeichnis stehen, fehlen teilweise. Die deutsche Einordnung der Lückenart erfolgt automatisch. Die Anteile gelten weltweit; eine eigene Zahl für Deutschland veröffentlicht wordpress.org nicht.
Die Auswertungen stehen als JSON zur freien Nachnutzung bereit (CC BY 4.0, bitte mit Nennung „Rauch Media, rauch-media.de/lage/“):
- Sicherheitslücken (Auswertung) JSON, CC BY 4.0, Nennung „Rauch Media, rauch-media.de/lage/“
- WordPress-Versionen JSON, CC BY 4.0, Nennung „Rauch Media, rauch-media.de/lage/“
- WordPress-Versionen, Tagesverlauf JSON, CC BY 4.0, Nennung „Rauch Media, rauch-media.de/lage/“
- PHP-Versionen JSON, CC BY 4.0, Nennung „Rauch Media, rauch-media.de/lage/“
This product uses data from the NVD API but is not endorsed or certified by the NVD.
Hinweise auf Fehler oder fehlende Quellen nehme ich gern auf: kai@rauch-media.de.
Häufige Fragen
Gibt es aktuell Störungen bei WordPress?
WordPress selbst läuft auf dem Server Ihres Hosters und fällt nicht zentral aus. Liegt Ihre Website lahm, ist meist der Hoster gestört, ein Update schiefgegangen oder eine Lücke wird ausgenutzt. Alle drei zeigt diese Seite live.
Wie oft werden die Daten aktualisiert?
Sicherheitslücken, Versionen und PHP stündlich, der Hoster-Status alle fünf Minuten. Jede Anzeige nennt ihren Stand.
Darf ich die Zahlen zitieren?
Ja, unter CC BY 4.0 mit der Nennung „Rauch Media, rauch-media.de/lage/“. Die Rohdaten stehen oben als JSON bereit.