WordPress-Plugins mit bekannten Lücken

Was wir prüfen

Läuft die Website mit WordPress, lesen wir aus den Adressen der Dateien, die die Startseite lädt, welche Plugins im Einsatz sind und in welcher Version. Typisch sind Adressen wie /wp-content/plugins/contact-form-7/…?ver=5.7.1.

Diese Plugins und Versionen gleichen wir mit der öffentlichen Datenbank von wpvulnerability.net ab:

• Plugins mit bekannten Lücken melden wir mit dem Schweregrad (CVSS, 10 = am schwersten) und der Version, welche die Lücke schliesst.
• Plugins, die WordPress aus seinem Verzeichnis entfernt hat, melden wir ebenfalls. Sie erhalten in der Regel keine Updates mehr.

Wir rufen dafür keine zusätzlichen Dateien auf dem Server ab. Die Version ist ein Hinweis: Manche Plugins geben in den Dateiadressen keine oder eine andere Version an. Plugins, die nur im Administrationsbereich oder auf Unterseiten arbeiten, sehen wir nicht.

Warum das wichtig ist

WordPress selbst ist gut gepflegt. Die meisten erfolgreichen Angriffe auf WordPress-Websites laufen über veraltete Plugins und Themes.

Der Ablauf ist fast immer gleich: Eine Lücke in einem Plugin wird bekannt und veröffentlicht. Innerhalb von Stunden bis Tagen durchsuchen automatisierte Programme das Internet nach Websites mit der betroffenen Version. Wer das Update nicht eingespielt hat, wird angegriffen, unabhängig von Grösse oder Branche.

Eine gehackte WordPress-Website

• verteilt Schadsoftware an die Besucher,
• leitet auf Betrugs- oder Glücksspielseiten um, oft nur für Besucher von Google, sodass der Betreiber es selbst nicht bemerkt,
• verschickt Spam über den Server,
• landet auf Sperrlisten von Google und Browsern, die dann vor der Seite warnen.

Die Bereinigung kostet meist ein Vielfaches regelmässiger Wartung.

So behebst Du es

1. Backup erstellen. Bevor Du etwas aktualisierst, sichere Dateien und Datenbank, z.B. mit UpdraftPlus oder über den Hoster.
2. Plugins aktualisieren. Im WordPress-Backend unter «Plugins» siehst Du, wo Updates verfügbar sind. Aktualisiere mindestens auf die im Bericht genannte Version.
3. Entfernte oder verlassene Plugins ersetzen. Gibt es kein Update, das die Lücke schliesst, such ein gepflegtes Plugin mit gleicher Funktion und lösch das alte.
4. Aufräumen. Lösch deaktivierte und ungenutzte Plugins und Themes. Auch deaktivierter Code kann angreifbar sein.
5. Automatische Updates einschalten. Seit WordPress 5.5 kannst Du in der Plugin-Liste für jedes Plugin «Automatische Aktualisierungen aktivieren» wählen.

Premium-Plugins und Themes

Gekaufte Plugins, etwa Page-Builder oder Slider aus einem Theme-Paket, aktualisieren sich oft nur mit gültiger Lizenz. Ist die Lizenz abgelaufen, bleiben sie auf dem alten Stand. Erneuere die Lizenz oder ersetze das Plugin.

Wartung auslagern

Viele Agenturen und Hoster bieten WordPress-Wartung zum Monatspreis an: Updates, Backups und Überwachung. Für Firmen ohne eigene technische Ressourcen ist das meist die sicherste Lösung.

So prüfst Du es selbst

Das Dashboard und «Werkzeuge › Website-Zustand» zeigen ausstehende Updates. Sicherheits-Plugins wie Wordfence oder WPScan melden bekannte Lücken direkt im Backend.

Häufige Fragen

Sind automatische Updates für alle Plugins sinnvoll?

Für gut gepflegte Plugins ja. Das Risiko, dass ein Update etwas kaputt macht, ist meist kleiner als das Risiko einer offenen Lücke. Wichtig ist ein regelmässiges Backup, damit man im Notfall zurückkann.

Die Website verwendet kein WordPress. Betrifft sie das?

Nein. Erkennen wir kein WordPress, entfällt diese Prüfung. Andere Systeme deckt die Prüfung «Veraltete Software» ab.

Wie viele Plugins sind zu viele?

Es gibt keine feste Grenze. Jedes Plugin ist aber zusätzlicher Code, der gepflegt werden muss. Alles, was nicht aktiv genutzt wird, gehört entfernt, auch deaktivierte Plugins.