Wordfence: 319 WordPress-Plugin-Schwachstellen in einer Woche
Wordfences neuester Bericht verzeichnete 319 WordPress-Plugin-Schwachstellen in 222 Plugins zwischen dem 21. und 27. September 2026, und 156 Sicherheitsforscher trugen in dieser Woche Erkenntnisse bei. Diese Schwachstellen wurden in die Wordfence Intelligence Vulnerability Database aufgenommen, die kostenlos über ihre Weboberfläche, über eine API (eine Möglichkeit für Software, automatisch Daten anzufordern) und über Webhook-Benachrichtigungen (Echtzeit-Warnungen, die an ein anderes System gesendet werden) abgefragt werden kann. Die Datenbank enthält mehr als 40.000 WordPress-Schwachstelleneinträge, und Wordfence sagt, seine Mission sei es, diese Daten zugänglich zu machen, damit Website-Betreiber, Hosting-Anbieter und Unternehmen mehrschichtige Sicherheit, auch Defense in Depth genannt, anwenden können.
Von den 319 Schwachstellen haben 306 bereits Patches von ihren Plugin-Autoren, während 13 zum Zeitpunkt des Berichts noch ungepatcht sind. Unter Verwendung des Common Vulnerability Scoring System (CVSS, eine standardisierte Skala von 0 bis 10 zur Bewertung von Sicherheitslücken) stufte Wordfence 226 als mittelschwer, 79 als hoch und 14 als kritisch ein. Der häufigste Schwachstellentyp war Cross-Site-Scripting (XSS), bei dem ein Angreifer bösartigen Code in eine Seite einschleusen kann, die von anderen angesehen wird, mit 96 Fällen. Fehlende Autorisierung machte 59 aus, Autorisierungsumgehung über einen benutzergesteuerten Schlüssel 26, SQL-Injection (Manipulation von Datenbankabfragen) 24 und die Offenlegung sensibler Informationen an einen Unbefugten 22. Weitere nennenswerte Schwachstellentypen waren unsachgemäße Rechteverwaltung (14), Deserialisierung nicht vertrauenswürdiger Daten (11), Path Traversal (11), Code-Injection (8), Server-Side Request Forgery (7) und Cross-Site Request Forgery (4).
Der Bericht behandelt auch eine Schwachstelle in WordPress Core Version 7.1.1 und früher: eine nicht authentifizierte Local File Inclusion über den Path Traversal der Funktion locate_template(). Local File Inclusion ermöglicht es einem Angreifer, eine Webanwendung dazu zu bringen, eine Datei vom Server zu laden, die nicht offengelegt werden sollte, wodurch möglicherweise sensible Konfigurations- oder Quelldaten gelesen werden können. Das Threat-Intelligence-Team von Wordfence, das jede Schwachstelle überprüft, um Auswirkungen und Schweregrad zu bestimmen und zu verifizieren, dass die Wordfence Firewall ausreichenden Schutz bietet, hat letzte Woche drei neue Firewall-Regeln bereitgestellt. Diese sind als WAF-RULE-959, WAF-RULE-960 und WAF-RULE-961 gekennzeichnet, aber ihre Details sind geschwärzt, während Wordfence mit den betroffenen Anbietern an Patches arbeitet. Kunden mit Wordfence Premium, Care oder Response erhielten diesen Schutz sofort, während kostenlose Wordfence-Nutzer denselben erweiterten Schutz nach einer 30-tägigen Verzögerung erhalten. Die Local-File-Inclusion-Schwachstelle im WordPress-Kern wurde ebenfalls sofort für Premium-, Care- und Response-Kunden geschützt.
Die 222 betroffenen Plugins decken nahezu jeden Bereich des WordPress-Ökosystems ab. Page Builder und ihre Add-ons umfassen Elementor, ElementsKit, Premium Addons für Elementor, HappyAddons für Elementor, King Addons, JetEngine und JetTricks. Zu den aufgeführten E-Commerce- und Spenden-Plugins gehören GiveWP, SureCart, Easy Digital Downloads, Payment Plugins für PayPal WooCommerce, Paymob für WooCommerce, Razorpay Payment Button und mehrere WooCommerce-Produktfilter- und Feed-Plugins. Betroffene Formular-Builder sind Ninja Forms, Forminator, JetFormBuilder, Happyforms und HT Contact Form. Caching- und Bildoptimierungstools wie 10Web Booster, Asset CleanUp: Page Speed Booster, Core Web Vitals & PageSpeed Booster, Optimole und ShortPixel Image Optimizer stehen auf der Liste. Sicherheitstools wie All-In-One Security (AIOS), Malcure Malware Shield, SSL Zen und Easy Hide Login erscheinen ebenfalls, ebenso Galerie-Plugins wie NextGEN Gallery und Modula, Mitgliedschafts-Plugins wie s2Member und Paid Membership Subscriptions, Buchungs-Plugins wie Booking Calendar und Bookly und viele andere. Die vollständige Liste ist im Wordfence-Bericht verfügbar.
Unter den 156 Forschern, die beigetragen haben, meldete Ananda Dhakal mit 34 Schwachstellen die meisten, gefolgt von Karthik Ramakrishnan und Intrudify mit jeweils 11. Acht Forscher meldeten jeweils 8 Schwachstellen: vuxvinh, Jakub Herman, Artus KG, Wordfence PRISM und nh4tvd sind darunter. Dutzende weitere Forscher meldeten ein oder zwei Funde. Wordfence fördert verantwortungsvolle Offenlegung über sein Bug-Bounty-Programm, das Prämien für Schwachstellen im Geltungsbereich bietet und Forscher auf einer öffentlichen Bestenliste führt.
Für Website-Betreiber ist die Menge an Plugin-Schwachstellen eine Erinnerung daran, dass sich das WordPress-Ökosystem ständig verändert. Da in einer einzigen Woche mehr als 300 Schwachstellen gepatcht wurden, ist das schnelle Einspielen von Plugin-Updates einer der wirksamsten Schutzmaßnahmen. Die 13 ungepatchten Lücken und das Local-File-Inclusion-Problem im WordPress-Kern bedeuten, dass einige Websites weiterhin gefährdet sind, bis Entwickler Fixes veröffentlichen oder Benutzer Workarounds anwenden. Ein verwalteter WordPress-Host wie AEU Hosting kann diesen Aufwand mit automatischen Backups, Sicherheitshärtung und zeitnahen Updates reduzieren, obwohl kein Host die Notwendigkeit ersetzt, jedes installierte Plugin auf dem neuesten Stand zu halten und nicht verwendete zu entfernen.