WordPress-Sicherheitslücken aktuell: Was gerade ausgenutzt wird

Jeden Tag werden neue Sicherheitslücken in WordPress-Plugins gemeldet. Die allermeisten werden nie angegriffen, einige wenige innerhalb von Stunden tausendfach. Diese Seite trennt beides. Sie zeigt stündlich aktualisiert, welche Lücken nachweislich ausgenutzt werden, wo der Angriffscode schon öffentlich ist und ob der Hersteller ein Update geliefert hat.

Stand 07.10.2026, 14:02 Uhr · stündlich aktualisiert · Quellen: NVD, CISA, FIRST EPSS, BSI CERT-Bund, wordpress.org

Wird nachweislich ausgenutzt

Diese Lücken führt die US-Cybersicherheitsbehörde CISA als aktiv ausgenutzt: Es gibt belegte Angriffe, nicht nur eine theoretische Gefahr. Wer eine der betroffenen Versionen einsetzt, sollte nicht bis zum nächsten Wartungstermin warten.

Angriffscode ist öffentlich

Für diese Lücken der letzten 30 Tage liegt nach Einschätzung der CISA ein öffentlicher Proof of Concept vor, also eine Anleitung, wie der Angriff funktioniert. Nach Auswertung von Patchstack vergehen bei stark angegriffenen Lücken im gewichteten Median nur fünf Stunden bis zum ersten Angriff. Sortiert nach Verbreitung des Plugins.

Höchste Ausnutzungs-Wahrscheinlichkeit

Der EPSS-Wert von FIRST schätzt täglich, wie wahrscheinlich eine Lücke in den nächsten 30 Tagen ausgenutzt wird. Er beruht auf beobachteten Angriffen und Merkmalen der Lücke. Hier die WordPress-Lücken der letzten 90 Tage mit dem höchsten Wert.

Neu gemeldet

Die jüngsten Meldungen, zuerst die Erweiterungen mit den meisten Installationen.

Lücken in weit verbreiteten Plugins

Plugins mit mehr als 100.000 Installationen, für die in den letzten 30 Tagen eine Lücke gemeldet wurde. Die Wahrscheinlichkeit, dass eines davon auf Ihrer Website läuft, ist hoch.

Welche Arten von Lücken gerade gemeldet werden

• Cross-Site-Scripting481
• Fehlende Rechteprüfung468
• SQL-Injection (Datenbankzugriff)129
• Datenleck96
• Code-Ausführung auf dem Server71
• Rechteausweitung bis zum Admin67
• Sonstige Schwachstelle64
• PHP-Objekt-Injection47

Letzte 30 Tage, Einordnung automatisch aus Beschreibung und CWE-Kennung.

Meldungen des BSI (CERT-Bund)

• [UPDATE] [kritisch] WordPress: Schwachstelle ermöglicht Codeausführung 29.09.2026

So lesen Sie die Liste

• Wird ausgenutzt: Die US-Cybersicherheitsbehörde CISA hat Angriffe beobachtet und die Lücke in ihren Katalog „Known Exploited Vulnerabilities“ aufgenommen oder als aktiv ausgenutzt eingestuft. Das ist die höchste Alarmstufe.
• Angriffscode öffentlich: Nach Einschätzung der CISA gibt es einen öffentlichen Proof of Concept. Wer angreifen will, muss nichts mehr selbst herausfinden.
• Ausnutzung 30 Tage: Der EPSS-Wert von FIRST, einer Vereinigung von Sicherheitsteams, schätzt die Wahrscheinlichkeit, dass die Lücke in den nächsten 30 Tagen ausgenutzt wird. 5 % klingt wenig, liegt aber über dem Wert der allermeisten Lücken.
• Schwere: Der CVSS-Wert von 0 bis 10. Ab 9 gilt eine Lücke als kritisch, ab 7 als hoch.
• Angreifer braucht: Ohne Anmeldung heißt, jeder Bot im Internet kann es versuchen. Mit Abonnenten-Konto heißt, jede Website mit offener Registrierung ist betroffen, also viele Shops, Vereins- und Kursseiten.
• Update: „Behoben in“ nennt die Version mit der Korrektur. „Neuere Version“ heißt, im Verzeichnis gibt es eine Version jenseits der gemeldeten, die sehr wahrscheinlich die Korrektur enthält. „Kein Update“ heißt, die gemeldete Version ist die neueste, eine Korrektur fehlt. „Aus dem Verzeichnis entfernt“ heißt, wordpress.org hat das Plugin gesperrt; es wird nie mehr ein Update bekommen.

Was Sie jetzt tun sollten

1. Plugin-Liste öffnen. Im Dashboard unter „Plugins“ stehen alle installierten Erweiterungen mit Versionsnummer. Vergleichen Sie sie mit den Tabellen oben, zuerst mit „Wird ausgenutzt“ und „Angriffscode öffentlich“.
2. Update einspielen, wenn es eines gibt. Vorher ein Backup ziehen. Bei Shops und Formularen danach kurz testen, ob Bestellung und Kontaktformular noch funktionieren.
3. Kein Update: Plugin deaktivieren und löschen. Ein deaktiviertes Plugin liegt noch auf dem Server und kann bei manchen Lücken trotzdem angegriffen werden. Suchen Sie eine gepflegte Alternative.
4. Auf Spuren prüfen. War eine betroffene Version über längere Zeit aktiv, prüfen Sie Ihre Benutzerliste auf unbekannte Administratoren und achten Sie auf fremde Weiterleitungen. Wie das geht, steht unter WordPress gehackt.
5. Künftig schneller sein. Die Angreifer brauchen im Mittel Stunden, viele Betreiber Wochen. Wöchentliche Updates mit Test vorher schließen diese Lücke. Das ist der Kern meiner WordPress-Wartung.

Warum fast alle Lücken in Plugins stecken

Der WordPress-Kern wird von einem großen Team geprüft und aktualisiert sich bei Sicherheitskorrekturen meist selbst. Die über 60.000 Plugins im offiziellen Verzeichnis stammen dagegen von Tausenden Entwicklerinnen und Entwicklern, viele davon allein und nebenbei. Die Zahlen von Patchstack für 2025 zeigen das deutlich: 11.334 neue Lücken im WordPress-Umfeld, 42 % mehr als im Vorjahr. 91 % davon steckten in Plugins, 9 % in Themes, im Kern waren es nur sechs. Und 46 % der Lücken hatten zum Zeitpunkt der Veröffentlichung noch keine Korrektur des Herstellers (Patchstack, State of WordPress Security 2026).

Daraus folgt eine einfache Regel: Jedes Plugin ist eine Tür. Wer 40 Plugins installiert hat, von denen 15 nicht mehr gebraucht werden, hat 15 Türen, die niemand bewacht. Die wirksamste Sicherheitsmaßnahme ist oft nicht ein weiteres Sicherheits-Plugin, sondern das Aufräumen. Mehr dazu in der Checkliste zur WordPress-Sicherheit.

Methodik

Grundlage sind alle Einträge der National Vulnerability Database (NVD) der letzten 90 Tage, die WordPress betreffen: über die Stichwortsuche „WordPress“ und über alle Meldungen, die Patchstack als meldende Stelle eingereicht hat (deren Beschreibungen nennen WordPress oft nicht). Neue und geänderte Einträge werden stündlich abgerufen, einmal täglich wird der gesamte Zeitraum neu geladen.

• Ausnutzung: CISA-Katalog Known Exploited Vulnerabilities (alle WordPress-Einträge, auch ältere) und die Einschätzung „Exploitation“ aus dem SSVC-Schema, die die CISA zu neuen Einträgen ergänzt.
• Wahrscheinlichkeit: EPSS von FIRST, täglich aktualisiert.
• Verbreitung und Update-Stand: Plugin- und Theme-Verzeichnis von wordpress.org. Der Name der Erweiterung und die betroffenen Versionen werden aus der Meldung gelesen; bei Kauf-Plugins ohne Eintrag im Verzeichnis bleibt der Update-Stand offen.
• Deutsche Warnungen: Warn- und Informationsdienst des BSI (CERT-Bund), soweit WordPress genannt wird.
• Einordnung der Lückenart: automatisch aus Beschreibung und CWE-Kennung, deshalb gelegentlich grob.

Die Liste ersetzt keinen Abgleich mit Ihrer konkreten Installation. Sie zeigt, wo sich ein Blick lohnt. Die Auswertung steht als JSON zur Nachnutzung bereit.

Häufige Fragen

Kostenlos prüfen lassen

Sie wollen wissen, ob eines Ihrer Plugins betroffen ist? Nennen Sie mir die Adresse Ihrer Website. Ich prüfe von außen, welche WordPress-Version und welche Erweiterungen erkennbar sind, und gleiche sie mit der Liste ab. Das Ergebnis bekommen Sie per E-Mail, kostenlos.