WordPress: 52 von 501 offengelegten Sicherheitslücken bleiben ungepatcht
Die offengelegten Sicherheitslücken in WordPress beliefen sich im Bericht von Wordfence Intelligence für den Zeitraum vom 28. September bis zum 4. Oktober 2026 auf 501 Schwachstellen, von denen 52 noch ungepatcht waren. Laut Wordfence betrafen die Ergebnisse 367 Plugins, also Erweiterungen für die Funktionen einer Website, sowie neun Themes, die deren Darstellung bestimmen. Die Zahlen beschreiben offengelegte Software-Schwachstellen, nicht die Anzahl kompromittierter Websites.
Wordfence nahm die Ergebnisse in seine Intelligence Vulnerability Database auf und würdigte die Beiträge von 201 Sicherheitsforschern im Berichtszeitraum. Die Aufschlüsselung nach Patch-Status führt 449 Schwachstellen als gepatcht auf, was bedeutet, dass eine Softwarekorrektur verfügbar war, und 52 als ungepatcht. Dass eine Korrektur verfügbar ist, bedeutet nicht, dass sie auf jeder betroffenen Website installiert wurde. Ebenso belegt die Erwähnung eines Produkts im Bericht nicht, dass jede seiner Versionen verwundbar ist.
Die Aufschlüsselung nach Schweregrad umfasst 20 kritische Schwachstellen und 174 Schwachstellen mit hohem Schweregrad, daneben 306 mit mittlerem und eine mit niedrigem Schweregrad. Diese Kategorien beruhen auf CVSS, dem Common Vulnerability Scoring System, einem standardisierten Verfahren zur Bewertung der Schwere von Software-Schwachstellen. Der Schweregrad hilft Website-Betreibern, Prüfungen zu priorisieren. Die betroffene Version und die zur Ausnutzung einer Schwachstelle erforderlichen Bedingungen bleiben jedoch wichtig. Der bereitgestellte Berichtsauszug enthält diese Angaben nicht für einzelne Produkte. Daher lässt sich daraus nicht ableiten, ob eine bestimmte Installation gefährdet ist.
Cross-Site-Scripting, bei dem unsichere Eingaben auf einer Website zu Code werden können, den der Browser ausführt, war mit 206 Fällen die größte Kategorie. Auf fehlende Autorisierung, also die unterlassene Prüfung, ob jemand eine Aktion ausführen darf, entfielen 68 Fälle. SQL-Injection, bei der gezielt präparierte Eingaben die an eine Datenbank gesendeten Befehle verändern, machte 42 Fälle aus. Wordfence zählte außerdem 34 Fälle, in denen vertrauliche Informationen Unbefugten zugänglich wurden, und 30 Fälle der Deserialisierung nicht vertrauenswürdiger Daten. Dabei rekonstruiert Software gespeicherte Daten aus einer nicht vertrauenswürdigen Quelle auf unsichere Weise.
Der Bericht gruppiert Schwachstellen mithilfe von CWE, der Common Weakness Enumeration, einer gemeinsamen Klassifikation von Sicherheitsfehlern in Software. Weitere Kategorien umfassten 23 Umgehungen der Autorisierung über einen vom Benutzer kontrollierten Schlüssel, bei denen eine veränderbare Eingabe eine Berechtigungsprüfung aushebeln konnte; 14 Code-Injection-Schwachstellen, bei denen Eingaben zu ausführbaren Anweisungen werden können; sowie 13 Path-Traversal-Schwachstellen, bei denen eine Dateianfrage auf Bereiche außerhalb des vorgesehenen Ordners zugreifen kann. Weitere 13 Fälle betrafen eine unsachgemäße Rechteverwaltung, also falsch zugewiesene Befugnisse innerhalb der Software.
Neun Fälle betrafen die Durchsetzung von Sicherheitsprüfungen im Browser statt auf dem Server, acht eine unsachgemäße Authentifizierung, also die Prüfung der Identität. Sieben Fälle entfielen auf Cross-Site-Request-Forgery, bei der Benutzer dazu verleitet werden können, eine unerwünschte Aktion auf einer Website auszulösen. Fünf ermöglichten das uneingeschränkte Hochladen gefährlicher Dateitypen. Vier betrafen Server-Side-Request-Forgery, bei der eine Website zu unbeabsichtigten Netzwerkanfragen veranlasst werden kann, und vier einen unkontrollierten Ressourcenverbrauch, der die verfügbare Rechenkapazität erschöpfen kann.
Kleinere Kategorien umfassten jeweils drei Fälle mit von außen kontrollierten Dateinamen oder Pfaden, unsicherer Einbindung entfernter Dateien in PHP, der von WordPress verwendeten Programmiersprache, sowie Weiterleitungen zu nicht vertrauenswürdigen Websites. Zwei Fälle betrafen eine unsachgemäße Eingabevalidierung, also unzureichende Prüfungen eingehender Daten. Je ein Fall betraf eine Race Condition, bei der sich überlappende Abläufe auf unsichere Weise beeinflussen; ein erratbares CAPTCHA, also eine Aufgabe, die Menschen von automatisierten Aktivitäten unterscheiden soll; unsachgemäße Autorisierung; fehlerhafte Autorisierung; allgemeine Injection; die Einschleusung von Betriebssystembefehlen; unzureichend geschützte Zugangsdaten; eine weitere Path-Traversal-Kategorie; das Versagen eines Schutzmechanismus; sowie ein fest im Softwarecode hinterlegtes Passwort.
Die sichtbare Produktliste deckt Onlinehandel, Formulare, Website-Erstellung, Backups, Suche und Leistung ab. Zu den Beispielen gehören Autoptimize, Cache Enabler, EWWW Image Optimizer, All in One SEO, Beaver Builder Page Builder, CMB2, Download Monitor, EmbedPress, Essential Addons for Elementor, Event Tickets and Registration, Fluent Forms, Forminator Forms, Groundhogg, hCaptcha for WP, JetEngine, JetFormBuilder, Kadence Blocks und LearnPress. Außerdem nennt sie BackupEase, BackupSheep WordPress Backup Plugin, Hostinger Migrator und Hostinger Reach. Prüfen Sie den jeweiligen Sicherheitshinweis, statt davon auszugehen, dass ein Produktname eine betroffene Version kennzeichnet. Der bereitgestellte Text endet mitten in der Plugin-Liste und enthält die Namen der neun Themes nicht.
Das Threat Intelligence Team von Wordfence erklärt, dass es Schwachstellen auf Auswirkungen, Schweregrad und Ausnutzungswahrscheinlichkeit prüft, wenn es den Schutz durch die Firewall bewertet. Eine Firewall filtert eingehende Anfragen und hilft so, schädlichen Datenverkehr zu blockieren. Für diesen Zeitraum führte Wordfence einen erweiterten Schutz unter WAF-RULE-963 auf, hielt jedoch die Einzelheiten zur Schwachstelle zurück, während es mit dem Anbieter an einem Patch arbeitete. Das betroffene Produkt und die technischen Details bleiben im bereitgestellten Text daher ungenannt. Kunden von Wordfence Premium, Care und Response erhielten die Regel sofort; Nutzer der kostenlosen Version erhalten diesen erweiterten Schutz mit einer Verzögerung von 30 Tagen. Die Ankündigung dieser Regel ist kein Beleg dafür, dass sie vor jeder Schwachstelle im Bericht schützt.
Unter den gewürdigten Mitwirkenden wurde Ananda Dhakal mit 72 Schwachstellen aufgeführt, Intrudify mit 19, Jakub Herman mit 14, nh4tvd und neurotx mit jeweils 12, Artus KG mit 10 sowie Kuba und Rafie Muhammad mit jeweils neun. Wordfence PRISM gehörte zu den Mitwirkenden, denen sieben Schwachstellen zugerechnet wurden. Wordfence lädt Sicherheitsforscher ein, ihre Ergebnisse im Rahmen seines Bug Bounty Program verantwortungsvoll offenzulegen. Das Programm bietet Prämien für Schwachstellen, die die Teilnahmebedingungen erfüllen, sowie eine Würdigung in der Intelligence-Rangliste und in den wöchentlichen Berichten.
Laut Wordfence sind seine Datenbankoberfläche, API und Webhook-Integration für die private und gewerbliche Nutzung kostenlos. Eine API ermöglicht Software den Austausch von Informationen; ein Webhook sendet eine automatische Benachrichtigung, wenn sich etwas ändert. Unternehmen, Hosting-Anbieter und Privatpersonen können einen vollständigen Datenbankexport mit mehr als 40.000 Schwachstellen erhalten und mithilfe von Benachrichtigungen neue Einträge und Aktualisierungen in Echtzeit verfolgen. Wordfence bietet außerdem E-Mail-Abonnements für seine wöchentlichen Schwachstellenberichte und weitere Berichte zur WordPress-Sicherheit an. Es stellt diese Ressourcen als Unterstützung für ein mehrschichtiges Sicherheitskonzept dar, das mehrere Schutzmaßnahmen nutzt, statt sich auf eine einzige zu verlassen.
Für Website-Betreiber besteht die unmittelbare Aufgabe darin, installierte Plugins und Themes mit den detaillierten Datenbankeinträgen abzugleichen, betroffene Versionen zu überprüfen und verfügbare Korrekturen einzuspielen. Erstellen Sie vor Änderungen ein Backup und prüfen Sie anschließend die wesentlichen Funktionen. Wenn eine installierte Komponente eine ungepatchte Schwachstelle aufweist, fragen Sie deren Entwickler oder einen vertrauenswürdigen Support-Anbieter, ob sie deaktiviert oder ersetzt werden sollte.