260 WordPress-Plugin-Schwachstellen gefunden, 38 ungepatcht
Wordfence, das Sicherheitsunternehmen hinter Wordfence Intelligence, meldete, dass letzte Woche, vom 7. bis 13. September 2026, 260 WordPress-Plugin-Schwachstellen in 207 Plugins offengelegt wurden. Diese Schwachstellen wurden der Wordfence Intelligence Vulnerability Database hinzugefügt, und 147 Schwachstellenforscher trugen in diesem Zeitraum zur WordPress-Sicherheit bei. Der Bericht ist Teil der wöchentlichen Bemühungen von Wordfence, Schwachstelleninformationen frei zugänglich zu machen und damit zu unterstützen, was das Unternehmen als Defense in Depth für WordPress-Websites bezeichnet.
Von den 260 Schwachstellen sind bereits 221 gepatcht, eine ist teilweise gepatcht und 38 bleiben ungepatcht. Nach Schweregrad sind 184 als Mittel, 66 als Hoch und 10 als Kritisch eingestuft. Der häufigste Schwachstellentyp war Cross-site Scripting (XSS), eine Schwachstelle, die es Angreifern ermöglicht, bösartige Skripte in Seiten einzuschleusen, die von anderen Benutzern angesehen werden; sie machte 66 der Funde aus. Fehlende Autorisierung (wenn ein Plugin nicht prüft, ob ein Benutzer die Berechtigung für eine Aktion hat) machte 58 aus, Offenlegung sensibler Informationen 21, SQL-Injection 18, unsachgemäße Rechteverwaltung 15, Autorisierungsumgehung über benutzergesteuerten Schlüssel 13, Pfad-Traversal 11, Deserialisierung nicht vertrauenswürdiger Daten 10, Code-Injection 9, unsachgemäße Authentifizierung 6, uneingeschränkter Datei-Upload 6, clientseitige Durchsetzung serverseitiger Sicherheit 5, Cross-Site Request Forgery 5, PHP Remote File Inclusion 3, unzureichende Überprüfung der Datenauthentizität 2, Versagen des Schutzmechanismus 2, offene Weiterleitung 2, Authentifizierungsumgehung über alternativen Pfad oder Kanal 1, erratbares CAPTCHA 1, Injection 1, inkorrekte Autorisierung 1, fehlende Authentifizierung für kritische Funktion 1, Server-Side Request Forgery 1, unkontrollierter Ressourcenverbrauch 1 und unbestätigte Passwortänderung 1.
Die betroffenen Plugins, die im Wordfence-Bericht aufgeführt sind, umfassen AcyMailing, Advanced Contact form 7 DB, Advanced Customized Prompts, Advanced Partial Payment or Deposit for WooCommerce, Advanced Product Fields Extended for WooCommerce, AI Builder, Anti-Spam by CleanTalk, Aruba HiSpeed Cache, Awesome Support, BackWPup, bbPress, BEAR, Beaver Builder, Bold Page Builder, Bold Timeline Lite, Amelia, Bookit, Booktics, Buddyforms, BuddyPress, Builderall for WordPress, Bulk Password Reset, CatalogX, Checkout Custom Fields Builder for WooCommerce, CODE MONKEYS PROPOSALS, FormyChat, Contact Form to DB by BestWebSoft, Content Mask, CoolClock, CryptoPayment Gateway, Csomagpontok és Címkék WooCommerce-hez, Custom Menu Wizard Widget, Direct Download for WooCommerce, Domain For Sale, Drag and Drop File Upload for Elementor Forms, DT LMS, Easy Appointments, Easy Google Fonts, EDD Product Catalog Feed by PixelYourSite, ElasticPress, ELEX WooCommerce Request a Quote, Email Subscribers & Newsletters, Event Booking Manager for WooCommerce, Event Tickets and Registration, Eventin, EventON, Everest Forms, Featured Image with URL, FireBox, Flexible Quantity, Floating Chat Widget (Chaty), Form Maker by 10Web, Frontegg SAML SSO, GamiPress, Gato GraphQL, GEO my WP, Gpx2Graphics, Graphina, Groundhogg, Gutenverse News, Hide My WP Ghost, HT Menu, HUSKY, Hustle, ilGhera Reviso Exporter for WooCommerce, IMPress for IDX Broker, Insert or Embed Articulate Content, IP2Location Country Blocker, IPGP Visitors Origin, JCH Optimize, JetFormBuilder, Jetpack, Kirki, LearnPress, Live Composer, LukasApps CAPTCHA tools for Contact Form 7, Mail Mint, MailMunch, Master Addons for Elementor, Masteriyo LMS, MDJM Event Management, Media Library Assistant, MemberPress Corporate Accounts, MetForm, miniOrange 2FA, MIPL Checkout Fields Manager for WooCommerce, Mobile Events Manager, MPG, MultiVendorX, Music Store, My Calendar, Nexi XPay Build, Next-Cart Store to WooCommerce Migration, Ninja Forms, Notiqoo, Bookly, Open User Map, Orbit Fox, OTP Login & Register Woocommerce, Page Visits Counter, Passster, Payment Gateway PayPay for WooCommerce, Payment Plugins for PayPal WooCommerce, Payment Plugins for Stripe WooCommerce, PDF Builder for WooCommerce, Podlove Podcast Publisher, myCred, Product Filter for WooCommerce by WBW, Product XML Feed Manager for WooCommerce, PublishPress Capabilities, Quads Ads Manager, Quentn WP, Quiz and Survey Master, Rara One Click Demo Import, Really Simple Security, Redux Framework, Registration Form for WooCommerce, Relevanssi, RepairBuddy, Repeater Fields for Gravity Forms, Return Refund and Exchange For WooCommerce, Robokassa payment gateway, Rox Appointment Booking, Royal Addons for Elementor, rtMedia, RTMKit, Salon Booking System, SEO Flow by LupsOnline, Shirt Product Designer for WooCommerce, Sidebar Manager Light, Simple Ajax Chat, Simple CAPTCHA with Cloudflare Turnstile, Simple Membership, Simple Payment, Sina Extension for Elementor, Site Kit by Google, Site Reviews, SiteSkite, Sky Addons for Elementor, Slim SEO, Smart Marketing SMS and Newsletters Forms, SMS Alert, Sprout Invoices, SSL Zen, Starter Templates, Sticky Chat Widget, Sunshine Photo Cart, SupportCandy, SureCart, SureRank SEO, Tangible Loops & Logic, Teddy Bear Customize Addon, Temporary Login Without Password, Thanko Thank You Page Customizer for WooCommerce, The Events Calendar, ThemeREX Addons, Themify WooCommerce Product Filter, Translate WordPress with GTranslate, Tutor LMS, Ultimate Gift Cards for WooCommerce, Unbounce Landing Pages, Unlimited Elements for Elementor, User Access Manager, User Registration & Membership, UsersWP, Verified Reviews, Vigilant und Visual Composer Website Bui.
Der Bericht würdigt außerdem 147 Schwachstellenforscher für ihre Beiträge. Die Top-Forscher waren Wordfence PRISM mit 25 Schwachstellen, Artus KG, Ananda Dhakal und Jakub Herman mit jeweils 10, Yaswanth Reddy Sunkara, 0xBassia und Karthik Ramakrishnan mit jeweils 6, Philipp Doblhofer mit 5 sowie Peng Zhou, daroo, Pedro Pinho und Nabil Irawan mit jeweils 4. Viele weitere Forscher trugen jeweils eine Schwachstelle bei. Wordfence Intelligence bietet seine Schwachstellendatenbank, API und Webhook-Integration kostenlos für private und kommerzielle Nutzung an, mit über 40.000 Schwachstellen in der Datenbank, sodass Website-Betreiber, Hosting-Anbieter und Unternehmen über neue Offenlegungen auf dem Laufenden bleiben können.
Für Website-Betreiber lautet die praktische Konsequenz: sofortiges Handeln. 38 Schwachstellen sind noch ungepatcht, was bedeutet, dass Angreifer sie jetzt ausnutzen können. Aktualisieren Sie alle Plugins, sobald Patches verfügbar sind, entfernen Sie ungenutzte Plugins und verwenden Sie eine Firewall oder ein Sicherheits-Plugin, um gängige Exploit-Versuche zu blockieren. Verwaltetes WordPress-Hosting wie AEU Hosting hilft durch automatische Backups, Sicherheits-Härtung, Leistungsoptimierung, SSL und Experten-Support, sodass eine Website sich schnell erholen kann, wenn ein anfälliges Plugin kompromittiert wird.