362 WordPress-Plugin-Schwachstellen letzte Woche gemeldet
Wordfences wöchentlicher Schwachstellenbericht für den 14. bis 20. September 2026 verzeichnete 362 neue Schwachstellen in 247 WordPress-Plugins und 4 WordPress-Themes, wobei 45 dieser Probleme zum Zeitpunkt der Veröffentlichung noch nicht gepatcht waren. Die Daten stammen aus der Wordfence Intelligence Vulnerability Database, die inzwischen mehr als 40.000 WordPress-Schwachstellen enthält und über eine Benutzeroberfläche, eine API und eine Webhook-Integration frei zugänglich ist. Das Unternehmen gibt an, dass Website-Betreiber, Unternehmen, Hosting-Anbieter und Einzelpersonen diese Tools nutzen können, um eine mehrschichtige Sicherheit aufzubauen, und dass es die Mission ist, Schwachstelleninformationen für alle verfügbar zu machen.
Der Bericht schlüsselt den Schweregrad nach CVSS-Score auf, einer standardisierten Bewertung von 0 bis 10, wobei höhere Zahlen ein größeres Risiko bedeuten. Die letzte Woche hinzugefügten Schwachstellen umfassten 18 kritische, 74 hohe, 266 mittlere und 4 niedrige. Der häufigste Schwachstellentyp, klassifiziert nach CWE (Common Weakness Enumeration), war Cross-Site-Scripting (XSS) mit 94 Instanzen, gefolgt von fehlender Autorisierung mit 69, SQL-Injection mit 35, Autorisierungsumgehung durch benutzergesteuerte Schlüssel mit 27 und Offenlegung sensibler Informationen mit 27. Weitere nennenswerte Typen waren Code-Injection, uneingeschränkter Datei-Upload, Cross-Site-Request-Forgery (CSRF), Path-Traversal, Server-Side-Request-Forgery (SSRF) und unsachgemäße Authentifizierung.
Ein bedeutender Punkt ist eine neue Firewall-Regel, WAF-RULE-957, die vom Threat-Intelligence-Team von Wordfence eingesetzt wurde, um vor einer nicht authentifizierten gespeicherten Cross-Site-Scripting-Schwachstelle in WordPress Core bis Version 7.1 zu schützen, die damit zusammenhängt, wie die Funktion wpautop() Blockquotes verarbeitet. wpautop ist eine WordPress-Funktion, die automatisch Absatz- und Zeilenumbruch-Tags zu Inhalten hinzufügt. Wordfence gibt an, dass die Regel sofort für Premium-, Care- und Response-Kunden ausgerollt wurde, während Benutzer des kostenlosen Wordfence-Plugins den erweiterten Schutz nach einer Verzögerung von 30 Tagen erhalten. Die Details der Schwachstelle sind geschwärzt, während Wordfence mit dem Anbieter an einem Patch arbeitet, was eine gängige Praxis ist, um Angreifer daran zu hindern, eine noch nicht behobene Schwachstelle auszunutzen.
Insgesamt trugen 186 Schwachstellenforscher letzte Woche zur WordPress-Sicherheit bei. Zu den aktivsten Reportern gehörten Wordfence PRISM mit 25 Schwachstellen, Karthik Ramakrishnan mit 17, Ananda Dhakal mit 13, Artus KG mit 12 und drei Forscher mit jeweils 11: Pablo González Pérez, Francisco José Ramírez Vicente und Iñigo Sánchez Enciso. Viele andere Forscher reichten zwischen einer und zehn Funde ein. Wordfence betreibt außerdem ein Bug-Bounty-Programm, bei dem die verantwortungsvolle Offenlegung von Schwachstellen im Rahmen des Programms eine Belohnung einbringen und den Forscher im wöchentlichen Bericht erwähnen kann.
Der Bericht listet eine große Anzahl betroffener Plugins auf, darunter weit verbreitete Namen wie All-in-One WP Migration and Backup, LiteSpeed Cache, Elementor-Addons (Element Pack, Master Addons, JetElements), GiveWP, Booking Calendar, Forminator, Mailchimp for WooCommerce, Popup Maker, Redux Framework und viele andere. Da 317 Schwachstellen gepatcht wurden, aber 45 ungepatcht bleiben, sollten Website-Betreiber prüfen, ob ein von ihnen verwendetes Plugin oder Theme in der Liste erscheint, und Updates oder vorübergehende Gegenmaßnahmen anwenden. Wordfence empfiehlt, die vollständige Liste in der Datenbank zu überprüfen.
Für einen Website-Betreiber ist dieser wöchentliche Bericht eine Erinnerung daran, dass die Sicherheit von WordPress ständige Aufmerksamkeit erfordert. Verwaltetes WordPress-Hosting wie AEU Hosting kann die Last verringern, indem es Sicherheits-Härtung, automatische Backups und Expertenunterstützung bietet, um Patches anzuwenden, bevor Angreifer eine offengelegte Schwachstelle ausnutzen können.