AEU Hosting Blog
Nachrichten und Analysen von unseren Ingenieuren.
WordPress-Schwachstellen umfassen kritische RCE chain in WordPress Core
Wordfence verzeichnete im Juli 2026 insgesamt 1.077 Meldungen zu WordPress-Schwachstellen, darunter eine kritische RCE chain in WordPress Core und eine backdoor in einem plugin.
PHP2Shell-Rollout patchte umfangreiche Hosting-Infrastruktur
PHP2Shell-Fixes erreichten Hunderttausende Hosting-container, nachdem Notfallmaßnahmen mehr als 550.000 Exploit-Anfragen blockiert hatten.
WordPress 7.1.4 behebt Core-RCE während aktiver Angriffssondierungen
WordPress 7.1.4 schließt eine schwerwiegende Schwachstelle im Core-Update, während Angreifer Websites wiederholt auf das kurze Zeitfenster sondieren, das für die Ausführung von Code erforderlich ist.
WordPress vulnerabilities lassen 43 Sicherheitslücken ungepatcht
WordPress vulnerabilities betrafen innerhalb einer Woche 182 Plugins und 15 Themes; 43 Sicherheitslücken waren weiterhin ungepatcht, sieben wurden als kritisch eingestuft.
WordPress operations entscheiden, ob AI tatsächlich Zeit spart
WordPress operations, Dokumentation und Diagnostik bestimmen, ob AI die Arbeit von Agenturen beschleunigt oder lediglich eine größere Prüfwarteschlange erzeugt.
PHP2Shell-Angriffe dauern an, keine bestätigten WordPress-Fälle
PHP2Shell-Scanning ist aktiv, doch bis zum 28. Oktober wurde keine Kompromittierung von WordPress bestätigt. Website-Betreiber müssen PHP dennoch patchen und anschließend neu starten.
WordPress 7.1.4 behebt 22 Schwachstellen, darunter Update-RCE
WordPress 7.1.4 behebt 22 Schwachstellen, darunter ein kurzzeitiges Risiko für remote code execution ohne Authentifizierung während Software-Updates.
AI-WordPress-Entwicklung erfordert mehr Review und Support
AI-WordPress-Entwicklung kann die Programmierzeit verkürzen, doch Tests, Release-Planung, Monitoring und langfristige Wartung erfordern weiterhin menschliche Arbeit.
PHP2Shell-Patches beheben kritisches Risiko für WordPress-Server
PHP2Shell-Schwachstellen könnten es nicht authentifizierten Angreifern ermöglichen, Code auf betroffenen Servern auszuführen; Notfallkorrekturen wurden auf Kinstas Live-Sites und staging environments eingespielt.
497 WordPress-Sicherheitslücken betreffen Plugins und Themes
497 WordPress-Sicherheitslücken betrafen 327 Plugins und 23 Themes, darunter 23 kritische Schwachstellen und 69 Probleme ohne Patches.
PHP2Shell-Angriffe überschreiten 74.000 Blockierungen – dringende Updates weiterhin erforderlich
PHP2Shell-Angriffe haben mehr als 74.000 Blockierungen ausgelöst. Zwar wurde bislang keine Kompromittierung bestätigt, gefährdete Server benötigen jedoch weiterhin dringend PHP-Updates.
PHP-Sicherheitsupdates schließen zwei kritische RCE-Schwachstellen
PHP behebt zwei kritische Schwachstellen, die remote code execution in verschiedenen Webumgebungen ermöglichen, nachdem im Umfeld der Offenlegung Angriffe und Sondierungsversuche gemeldet worden waren.
Eine WordPress AI workload beanspruchte 27 Sekunden PHP-Zeit
Ein WordPress AI image workflow verbrauchte in Kinstas Test kumulativ 27,36 Sekunden PHP-Zeit und zeigte damit, wie gleichzeitige jobs Besucher verzögern können.
Kritische PHP-Schwachstellen gefährden WordPress-Websites
Zwei PHP-Schwachstellen können es nicht authentifizierten Angreifern ermöglichen, Code auf den Servern hinter WordPress-Websites auszuführen. Daher sind ein dringendes PHP-Update und ein Neustart des Dienstes erforderlich.
PHP-Sicherheitsupdates schließen zwei kritische RCE-Sicherheitslücken
PHP-Sicherheitsupdates beheben zwei kritische Sicherheitslücken, durch die nicht authentifizierte Angreifer Code auf Webservern ausführen können – auch auf Servern, die WordPress hosten.
PHP-Sicherheitsupdate behebt zwei aktiv angegriffene RCE-Schwachstellen
Ein PHP-Sicherheitsupdate behebt zwei kritische Schwachstellen, die aktiv ausgenutzt werden; Websitebetreiber müssen die PHP runtime des Servers patchen, nicht nur WordPress.
PHP security update soll zwei kritische Schwachstellen mit einem Wert von 9,2 beheben
Ein PHP security update wird am 21. Oktober zwei kritische Schwachstellen beheben. WordPress-Betreiber müssen klären, wer die Server-Software aktualisieren wird.
Duplicator-Schwachstelle gefährdet WordPress-Migrationen
Eine schwerwiegende Schwachstelle in Duplicator kann einen gespeicherten WordPress-Kommentar während einer späteren Website-Migration zur Befehlsausführung oder Dateilöschung nutzen.
655 WordPress-Schwachstellen umfassen 21 kritische Fehler
WordPress-Websites sind von 655 neu erfassten Schwachstellen betroffen, darunter 21 kritische Fehler und 289 Probleme, die weiterhin als ungepatcht aufgeführt sind.
HTTP 401 error bedeutet, dass die Website-Authentication fehlgeschlagen ist
Ein HTTP 401 error blockiert den Zugriff, wenn Anmeldedaten nicht akzeptiert werden. Die Ursache kann jedoch auch eine veraltete Session, eine Serverregel, ein Proxy, ein Plugin-Konflikt oder eine Kompromittierung sein.
UpdraftCentral keys nach Übernahmen von WordPress-Websites löschen
Gestohlene UpdraftCentral-Credentials ermöglichen es einem Angreifer, aus der Ferne WordPress-backdoors zu installieren. Alle Versionen sind betroffen, und es ist kein Plugin-Fix verfügbar.
KI-generierter WordPress-Code macht menschliche Prüfung unerlässlich
KI-generierter WordPress-Code kann die Entwicklung beschleunigen, doch menschliche Prüfung bleibt für Sicherheit, Funktionalität und die Einsatzbereitschaft im Produktivbetrieb entscheidend.
UpdraftCentral keys ermöglichten Malware-Installationen auf WordPress
Offengelegte UpdraftCentral-Zugangsdaten ermöglichten Angreifern, schädliche Plugins auf verbundenen WordPress-Websites zu installieren, darunter Websites mit aktuellen UpdraftPlus-Versionen.
Rank Math SEO PRO malware erfordert eine vollständige Wiederherstellung der Website
Betroffene Pakete von Rank Math SEO PRO 3.0.123 könnten dauerhaften Zugriff ermöglicht haben, sodass eine Wiederherstellung der Website, das Zurücksetzen von Zugangsdaten und Version 3.0.124 erforderlich sind.
Schwachstelle im Backuply WordPress plugin ermöglicht die Übernahme von Websites
Backuply-Versionen bis einschließlich 1.5.8 ermöglichen es Angreifern mit Abonnentenzugriff, SQL einzuschleusen, das nach der Wiederherstellung eines Backups ein Administratorkonto erstellen kann.
500 Internal Server Error: Beginnen Sie mit dem error log
Ein 500 Internal Server Error weist auf einen serverseitigen Fehler hin. Logs können zeigen, ob Code, Konfiguration, Ressourcen oder Malware die Ursache sind.
WordPress Content Governance braucht Staging und Backups
WordPress content governance erfordert Staging, eingeschränkten Zugriff, Backups, das Leeren des cache und Aktivitätsprotokolle, da AI das Veröffentlichungsvolumen erhöht.
Probleme mit Website speed veranlassten 70,4 % zum Kaufabbruch
Website speed oder technische Störungen führten dazu, dass 70,4 % der befragten US-Verbraucher Käufe abbrachen, während 31,7 % angaben, nach einem Crash nicht zurückzukehren.
WordPress API integrations prägen jetzt die Site-Zuverlässigkeit
WordPress API integrations können Checkout, Formulare und AI-Funktionen verlangsamen, wenn externe Dienste träge reagieren, daher brauchen Sites Monitoring und Pläne für Ausfälle.
Ghostscript-Schwachstelle gefährdet PDF-Uploads
Ghostscript-Schwachstelle CVE-2026-39919 kann Websites offenlegen, die hochgeladene PDFs in Vorschauen umwandeln; die Behebung steckt in Version 10.08.0.
Angriffe auf WordPress CVE-2026-87902 erreichen Codeausführung
WordPress CVE-2026-87902 wird aktiv ausgenutzt; erste Sondierungen entwickeln sich zu Versuchen, PHP-Dateien auf die Festplatte zu schreiben.
WordPress 7.1.2 behebt kritische Schwachstelle in Template-Dateien
WordPress 7.1.2 schließt eine kritische, nicht authentifizierte File-Inclusion-Schwachstelle, die Core-Versionen von 4.7.0 bis 7.1.1 betrifft.
WordPress 7.1.1 behebt gespeicherte XSS ohne Authentifizierung
WordPress 7.1.1 schließt eine gespeicherte XSS-Schwachstelle in Kommentaren sowie zehn weitere Sicherheitsprobleme, die Core und ältere Zweige betreffen.
WordPress-Bots brauchen eine maßvolle Reaktion, kein pauschales Verbot
WordPress-Bots können Websites verlangsamen, Ressourcen verschwenden oder die Sichtbarkeit in der Suche unterstützen. Betreiber brauchen daher einen Plan, um Traffic zuzulassen, zu prüfen oder zu blockieren.
Leitplanken für KI-Agenten für sicherere WordPress-Updates
Leitplanken für KI-Agenten können verhindern, dass automatisierte WordPress-Arbeiten ohne Staging, Backups, eingeschränkten Zugriff und menschliche Prüfung in die Produktion gelangen.
Fortschritte bei KI werfen Fragen zur Public-Key-Kryptografie auf
Public-Key-Kryptografie bildet die Grundlage für sichere Zahlungen im Web. Wordfence warnt, dass KI-gestützte Mathematik sie infrage stellen könnte, berichtet jedoch von keinem nachgewiesenen Bruch der Verschlüsselung.
Upload-Sicherheitslücke in WordPress ermöglicht Angreifern das Einschleusen ausführbarer Dateien
WordPress-Websites mit anfälligen Bricksforge-Versionen werden aktiv angegriffen. Die Sicherheitslücke ermöglicht es, ohne Anmeldung Schadcode auszuführen; Version 3.1.8.10 behebt sie.
WordPress: 52 von 501 offengelegten Sicherheitslücken bleiben ungepatcht
Laut Wordfence wurden 501 Sicherheitslücken in WordPress-Plugins und -Themes offengelegt. 52 sind noch ungepatcht, 20 gelten als kritisch. Daher ist es unerlässlich, nach Updates zu suchen.
Unverwaltete Drittanbieter-Skripte: Ein blinder Fleck in der Sicherheit
Drittanbieter-Tags, Pixel und Einbettungen können Seitendaten lesen, das Erscheinungsbild für Besucher verändern und bei Kompromittierung das Ausspähen von Zahlungskartendaten ermöglichen – daher ist eine strengere Überwachung erforderlich.
WordPress-Staging-Sites müssen ebenfalls gesichert werden
Eine Staging-Kopie Ihrer WordPress-Site kann Admin-Konten, Kundendaten und API-Schlüssel offenlegen. So sichern Sie sie ab.
Sucuri-Kontoanmeldungen wechseln am 10. August auf neue Authentifizierungsplattform
Sucuri beginnt am 10. August 2026 mit der Migration der Kundenanmeldungen auf sso.sucuri.net; Passwörter und Zwei-Faktor-Authentifizierung bleiben unverändert, und alte Links werden automatisch umgeleitet.
WordPress 7.1.3 behebt Kommentar-XSS und das Durchsickern privater Beiträge
WordPress 7.1.3 schließt sieben Sicherheitslücken, darunter ein Durchsickern von Kommentaren privater Beiträge und ein gespeichertes XSS, das ausgelöst wird, wenn ein Moderator auf einen bösartigen Link in einem ausstehenden Kommentar klickt.
WordPress-XSS-Kampagne installiert versteckte Admin-Konten
Eine Kampagne mit gespeichertem XSS missbraucht Ninja Forms und WPC Product Bundles, um ein verstecktes Admin-Konto und eine Hintertür in WordPress-Websites zu installieren.
Elementor-CSRF-Schwachstelle macht aus einem geklickten Link ein Admin-Konto
Elementor 4.3.0 und 4.3.1 erlauben es, dass ein von einem Administrator geöffneter Link jede REST-API-Aktion ausführt, einschließlich der Erstellung eines Administrators. Behoben in 4.3.2.
WordPress-Schwachstellen sinken im zweiten Quartal um 24 %, während Angriffe zunehmen
Der Q2-2026-Bericht von Wordfence zeigt 2.073 offengelegte WordPress-Schwachstellen, ein Rückgang um 24 %, aber risikoreiche Schwachstellen und das Angriffsvolumen stiegen stark an.
260 WordPress-Plugin-Schwachstellen gefunden, 38 ungepatcht
Wordfence hat letzte Woche 260 Schwachstellen in 207 WordPress-Plugins protokolliert; die meisten sind gepatcht, aber 38 bleiben ungepatcht und erfordern sofortiges Handeln der Website-Betreiber.
Wordfence 9 bringt kostenlose Passkeys für den WordPress-Login
Wordfence 9 bietet WordPress-Site-Betreibern eine kostenlose Passkey-Option, die Passwörter durch Ein-Klick-, Fingerabdruck- oder Gesichtsanmeldung ersetzt und Phishing erschwert.
Selbstheilende WordPress-Malware versteckt sich in Datenbank und RAM
Sucuri dokumentierte SC, eine WordPress-Backdoor, die sich aus acht Orten selbst wiederherstellt, darunter die Datenbank und der gemeinsame Speicher.
WordPress-Sicherheitsplugins: Wählen Sie die Ebenen, die wirklich zählen
Sucuri erklärt, was WordPress-Sicherheitsplugins tatsächlich tun, wo ihre Grenzen liegen und warum die Kombination aus Härtung, Firewall, Scannen und Backups unerlässlich ist.
KI findet versteckte Schwachstellen in selten aktualisierten WordPress-Plugins
KI findet schnell ungemeldete Schwachstellen in kleinen WordPress-Plugins; ein isoliertes Labor eines Forschers verwandelte verdächtigen Code in bestätigte Sicherheitslücken.
Wordfence: 319 WordPress-Plugin-Schwachstellen in einer Woche
Wordfence verzeichnete Ende September 319 Schwachstellen in 222 WordPress-Plugins; 13 davon sind noch ungepatcht, darunter eine Local-File-Inclusion-Schwachstelle im Kern.
Wordfence Bug-Bounty-Programm im Juni: 1.066 Meldungen, 42.553 $ ausgezahlt
Das Bug-Bounty-Programm von Wordfence erhielt im Juni 2026 1.066 Schwachstellen-Meldungen und zahlte 42.553 $ aus, darunter kritische Schwachstellen in Everest Forms Pro, Burst Statistics, Kirki und UpdraftPlus.
362 WordPress-Plugin-Schwachstellen letzte Woche gemeldet
Wordfence hat 362 Schwachstellen in 247 Plugins und 4 Themes hinzugefügt, darunter einen nicht authentifizierten gespeicherten XSS-Fehler in WordPress Core 7.1 und 45 ungepatchte Probleme.
WordPress 7.1.2 schließt kritische Path-Traversal-Schwachstelle
WordPress 7.1.2 und Backports beheben eine kritische Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, eine lokale PHP-Datei einzubinden, was potenziell zur Übernahme der Website führen kann. Jetzt aktualisieren.
Heimtückische WordPress-Malware versteckt Admin über Must-Use-Plugin
Ein heimtückisches WordPress-Must-Use-Plugin versteckt ein betrügerisches Admin-Konto, speichert Passwörter im Klartext, stellt sich selbst wieder her und verbreitet sich über Shared Hosting, berichtet Wordfence.
Kritische libheif-Schwachstelle erlaubt HEIC-Bildern Codeausführung auf Servern
Ein kritischer Fehler in der Bildbibliothek libheif kann es ermöglichen, dass manipulierte HEIC-Uploads Dateien lesen oder Code auf verwundbaren WordPress-Servern ausführen.