AEU Hosting Blog
Nachrichten und Analysen von unseren Ingenieuren.
Angriffe auf WordPress CVE-2026-87902 erreichen Codeausführung
WordPress CVE-2026-87902 wird aktiv ausgenutzt; erste Sondierungen entwickeln sich zu Versuchen, PHP-Dateien auf die Festplatte zu schreiben.
WordPress 7.1.2 behebt kritische Schwachstelle in Template-Dateien
WordPress 7.1.2 schließt eine kritische, nicht authentifizierte File-Inclusion-Schwachstelle, die Core-Versionen von 4.7.0 bis 7.1.1 betrifft.
WordPress 7.1.1 behebt gespeicherte XSS ohne Authentifizierung
WordPress 7.1.1 schließt eine gespeicherte XSS-Schwachstelle in Kommentaren sowie zehn weitere Sicherheitsprobleme, die Core und ältere Zweige betreffen.
WordPress-Bots brauchen eine maßvolle Reaktion, kein pauschales Verbot
WordPress-Bots können Websites verlangsamen, Ressourcen verschwenden oder die Sichtbarkeit in der Suche unterstützen. Betreiber brauchen daher einen Plan, um Traffic zuzulassen, zu prüfen oder zu blockieren.
Leitplanken für KI-Agenten für sicherere WordPress-Updates
Leitplanken für KI-Agenten können verhindern, dass automatisierte WordPress-Arbeiten ohne Staging, Backups, eingeschränkten Zugriff und menschliche Prüfung in die Produktion gelangen.
Fortschritte bei KI werfen Fragen zur Public-Key-Kryptografie auf
Public-Key-Kryptografie bildet die Grundlage für sichere Zahlungen im Web. Wordfence warnt, dass KI-gestützte Mathematik sie infrage stellen könnte, berichtet jedoch von keinem nachgewiesenen Bruch der Verschlüsselung.
Upload-Sicherheitslücke in WordPress ermöglicht Angreifern das Einschleusen ausführbarer Dateien
WordPress-Websites mit anfälligen Bricksforge-Versionen werden aktiv angegriffen. Die Sicherheitslücke ermöglicht es, ohne Anmeldung Schadcode auszuführen; Version 3.1.8.10 behebt sie.
WordPress: 52 von 501 offengelegten Sicherheitslücken bleiben ungepatcht
Laut Wordfence wurden 501 Sicherheitslücken in WordPress-Plugins und -Themes offengelegt. 52 sind noch ungepatcht, 20 gelten als kritisch. Daher ist es unerlässlich, nach Updates zu suchen.
Unverwaltete Drittanbieter-Skripte: Ein blinder Fleck in der Sicherheit
Drittanbieter-Tags, Pixel und Einbettungen können Seitendaten lesen, das Erscheinungsbild für Besucher verändern und bei Kompromittierung das Ausspähen von Zahlungskartendaten ermöglichen – daher ist eine strengere Überwachung erforderlich.
WordPress-Staging-Sites müssen ebenfalls gesichert werden
Eine Staging-Kopie Ihrer WordPress-Site kann Admin-Konten, Kundendaten und API-Schlüssel offenlegen. So sichern Sie sie ab.
Sucuri-Kontoanmeldungen wechseln am 10. August auf neue Authentifizierungsplattform
Sucuri beginnt am 10. August 2026 mit der Migration der Kundenanmeldungen auf sso.sucuri.net; Passwörter und Zwei-Faktor-Authentifizierung bleiben unverändert, und alte Links werden automatisch umgeleitet.
WordPress 7.1.3 behebt Kommentar-XSS und das Durchsickern privater Beiträge
WordPress 7.1.3 schließt sieben Sicherheitslücken, darunter ein Durchsickern von Kommentaren privater Beiträge und ein gespeichertes XSS, das ausgelöst wird, wenn ein Moderator auf einen bösartigen Link in einem ausstehenden Kommentar klickt.
WordPress-XSS-Kampagne installiert versteckte Admin-Konten
Eine Kampagne mit gespeichertem XSS missbraucht Ninja Forms und WPC Product Bundles, um ein verstecktes Admin-Konto und eine Hintertür in WordPress-Websites zu installieren.
Elementor-CSRF-Schwachstelle macht aus einem geklickten Link ein Admin-Konto
Elementor 4.3.0 und 4.3.1 erlauben es, dass ein von einem Administrator geöffneter Link jede REST-API-Aktion ausführt, einschließlich der Erstellung eines Administrators. Behoben in 4.3.2.
WordPress-Schwachstellen sinken im zweiten Quartal um 24 %, während Angriffe zunehmen
Der Q2-2026-Bericht von Wordfence zeigt 2.073 offengelegte WordPress-Schwachstellen, ein Rückgang um 24 %, aber risikoreiche Schwachstellen und das Angriffsvolumen stiegen stark an.
260 WordPress-Plugin-Schwachstellen gefunden, 38 ungepatcht
Wordfence hat letzte Woche 260 Schwachstellen in 207 WordPress-Plugins protokolliert; die meisten sind gepatcht, aber 38 bleiben ungepatcht und erfordern sofortiges Handeln der Website-Betreiber.
Wordfence 9 bringt kostenlose Passkeys für den WordPress-Login
Wordfence 9 bietet WordPress-Site-Betreibern eine kostenlose Passkey-Option, die Passwörter durch Ein-Klick-, Fingerabdruck- oder Gesichtsanmeldung ersetzt und Phishing erschwert.
Selbstheilende WordPress-Malware versteckt sich in Datenbank und RAM
Sucuri dokumentierte SC, eine WordPress-Backdoor, die sich aus acht Orten selbst wiederherstellt, darunter die Datenbank und der gemeinsame Speicher.
WordPress-Sicherheitsplugins: Wählen Sie die Ebenen, die wirklich zählen
Sucuri erklärt, was WordPress-Sicherheitsplugins tatsächlich tun, wo ihre Grenzen liegen und warum die Kombination aus Härtung, Firewall, Scannen und Backups unerlässlich ist.
KI findet versteckte Schwachstellen in selten aktualisierten WordPress-Plugins
KI findet schnell ungemeldete Schwachstellen in kleinen WordPress-Plugins; ein isoliertes Labor eines Forschers verwandelte verdächtigen Code in bestätigte Sicherheitslücken.
Wordfence: 319 WordPress-Plugin-Schwachstellen in einer Woche
Wordfence verzeichnete Ende September 319 Schwachstellen in 222 WordPress-Plugins; 13 davon sind noch ungepatcht, darunter eine Local-File-Inclusion-Schwachstelle im Kern.
Wordfence Bug-Bounty-Programm im Juni: 1.066 Meldungen, 42.553 $ ausgezahlt
Das Bug-Bounty-Programm von Wordfence erhielt im Juni 2026 1.066 Schwachstellen-Meldungen und zahlte 42.553 $ aus, darunter kritische Schwachstellen in Everest Forms Pro, Burst Statistics, Kirki und UpdraftPlus.
362 WordPress-Plugin-Schwachstellen letzte Woche gemeldet
Wordfence hat 362 Schwachstellen in 247 Plugins und 4 Themes hinzugefügt, darunter einen nicht authentifizierten gespeicherten XSS-Fehler in WordPress Core 7.1 und 45 ungepatchte Probleme.
WordPress 7.1.2 schließt kritische Path-Traversal-Schwachstelle
WordPress 7.1.2 und Backports beheben eine kritische Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, eine lokale PHP-Datei einzubinden, was potenziell zur Übernahme der Website führen kann. Jetzt aktualisieren.
Heimtückische WordPress-Malware versteckt Admin über Must-Use-Plugin
Ein heimtückisches WordPress-Must-Use-Plugin versteckt ein betrügerisches Admin-Konto, speichert Passwörter im Klartext, stellt sich selbst wieder her und verbreitet sich über Shared Hosting, berichtet Wordfence.
Kritische libheif-Schwachstelle erlaubt HEIC-Bildern Codeausführung auf Servern
Ein kritischer Fehler in der Bildbibliothek libheif kann es ermöglichen, dass manipulierte HEIC-Uploads Dateien lesen oder Code auf verwundbaren WordPress-Servern ausführen.