WordPress-Schwachstellen sinken im zweiten Quartal um 24 %, während Angriffe zunehmen
Der neueste Bericht zur WordPress-Sicherheitslage von Wordfence deckt das zweite Quartal 2026 ab und zeichnet ein gemischtes Bild für Website-Betreiber. Während die Gesamtzahl der neu offengelegten WordPress-Schwachstellen im Vergleich zum ersten Quartal um 24,3 % auf 2.073 sank, nahmen die gefährlichsten Schwachstellen und die tatsächlichen Angriffsaktivitäten zu. Wordfence, das eines der größten WordPress-spezifischen Sicherheitsnetzwerke betreibt, erstellte den Bericht aus Angriffs-Telemetrie und Schwachstellendaten, die über Millionen geschützter Websites gesammelt wurden.
Schwachstellenlandschaft: weniger Offenlegungen, aber mehr risikoreiche Schwachstellen
Wordfence nahm im zweiten Quartal 2026 2.073 Schwachstellen in seine Intelligence-Datenbank auf. Das Unternehmen war für die Behebung und Offenlegung von 47,4 % dieser Schwachstellen verantwortlich. Davon wurden 182 als Hochrisiko-Schwachstellen eingestuft, was bedeutet, dass Angreifer sehr wahrscheinlich darauf abzielen und sie mit minimalem Aufwand zu einer vollständigen Kompromittierung der Website führen können. Diese Zahl stieg im Vergleich zum Vorquartal um 15,2 %. Weitere 357 waren häufige und gefährliche Schwachstellen, eine Kategorie, die häufig in WordPress-Plugins und -Themes vorkommende Schwachstellen umfasst und für Angreifer, die nach leichter Beute suchen, immer noch attraktiv ist; diese Zahl sprang im Quartalsvergleich um 80,3 % nach oben. Wordfence legte 53,3 % der Hochrisiko-Schwachstellen und 32,2 % der häufigen und gefährlichen Schwachstellen offen.
Am Ende des zweiten Quartals blieben 149 gemeldete Schwachstellen ungepatcht, was laut Bericht den Wert eines Sicherheitsscanners unterstreicht, der Website-Betreiber warnt, wenn eine ungepatchte Schwachstelle vorhanden ist, damit sie die betroffene Software entfernen können. Die meisten im zweiten Quartal offengelegten Schwachstellen erforderten für die Ausnutzung keinen authentifizierten Zugriff, d. h. ein Angreifer benötigt kein Benutzerkonto auf der Website, um einen Angriff zu starten. Dieses Muster war dasselbe wie im ersten Quartal 2026. Plugins waren wie üblich der am häufigsten betroffene Softwaretyp, während Themes und der WordPress-Kern einen kleineren Anteil ausmachten.
Der Bericht listet die Top-10-Schwachstellenklassen für das Quartal auf. Cross-Site-Scripting (CWE-79), bei dem Angreifer Skripte in von anderen betrachtete Webseiten einschleusen, war mit 600 Fällen am häufigsten. Es folgten fehlende Autorisierung (CWE-862) mit 416, dann SQL-Injection (CWE-89) mit 213, Cross-Site-Request-Forgery (CWE-352) mit 121, Deserialisierung nicht vertrauenswürdiger Daten (CWE-502) mit 103, PHP-Remote-File-Inclusion (CWE-98) mit 101, Offenlegung sensibler Informationen (CWE-200) mit 87, Autorisierungsumgehung durch benutzergesteuerten Schlüssel (CWE-639) mit 85, Pfad-Traversal (CWE-22) mit 76 und uneingeschränkter Datei-Upload (CWE-434) mit 51.
Wordfence verfolgt auch das Engagement von Anbietern mit seinem Vulnerability Management Portal. Im zweiten Quartal meldeten sich 133 Anbieter an, um die Sicherheit ihrer WordPress-Software über das Portal zu verwalten, ein Rückgang von 11,9 % gegenüber dem Vorquartal, die 412 verschiedene Plugins und Themes abdeckten, ein Rückgang von 25,6 %. Registrierte Anbieter erhalten Echtzeit-Warnungen, wenn eine neue Schwachstelle in ihrer Software entdeckt wird.
Firewall- und Angriffs-Telemetrie: Exploit-Versuche nehmen zu
Die Wordfence Web Application Firewall (WAF), die den Datenverkehr zu einer WordPress-Website filtert und bösartige Anfragen blockiert, blockierte oder protokollierte im zweiten Quartal 10,4 Milliarden Exploit- und Sondierungsanfragen, ein Anstieg von 14,3 % gegenüber dem ersten Quartal. Die Firewall veröffentlichte im Quartal 16 neue WAF-Regeln, ein Rückgang von 27,3 % gegenüber dem Vorquartal. Darüber hinaus wurden 3,1 Milliarden Anfragen aus dem IP-Bedrohungs-Feed blockiert, ein Rückgang von 7,0 %. Die Zahl der an WAF-Angriffen beteiligten eindeutigen IP-Adressen erreichte 19,7 Millionen, ein Anstieg von 16,7 %, und die eindeutigen IPs aus der Wordfence-Blocklist stiegen um 58,9 % auf 353.000. Eindeutige User-Agents, also die Identifikationszeichenfolgen, die von Browsern und Bots gesendet werden, stiegen um 263,7 % auf 72,9 Millionen.
Die Top-10-User-Agents, die an der Ausnutzung von Schwachstellen beteiligt waren, werden mit Anforderungszahlen aufgeführt. Am aktivsten war eine mobile Safari-User-Agent-Zeichenfolge, die oft mit automatisiertem Datenverkehr in Verbindung gebracht wird und 1.329.501.815 Anfragen erzeugte. Es folgten Mozilla/5.0 AppleWebKit/537.36 (KHTML, wie Gecko) Chrome/123.0.6312.86 mit 723.929.095, curl/8.7.1 mit 532.032.669, Chrome 120.0.0.0 mit 408.187.867, Chrome 126.0.0.0 mit 310.476.820, Chrome 131.0.0.0 mit 178.527.122, dieselbe mobile Safari-Zeichenfolge erneut mit 150.640.717, Chrome 123.0.6312.86 wiederholt mit 136.301.524, generisches Mozilla mit 121.666.197 und Chrome 133.0.0.0 mit 113.914.440.
Der Bericht nennt auch die Top-10 der von Angreifern ins Visier genommenen eindeutigen Schwachstellen, sortiert nach blockierten Anfragen. Die LiteSpeed-Cache-Plugin-Schwachstelle (nicht authentifizierte Rechteausweitung in Versionen bis 6.3.0.1) war mit 49.711.496 blockierten Anfragen mit Abstand am stärksten betroffen. Als Nächstes folgten WPGraphQL (bis 0.2.3) mit 29.403.849, N-Media Post Front-end Form (vor 1.1) mit 23.130.942, WooCommerce Payments (4.8.0 bis 5.6.1) mit 12.610.278, SureTriggers (bis 1.0.78) mit 10.602.932, Ninja Forms (bis 3.5.7) mit 9.975.128, Rank Math SEO (bis 1.0.40.2) mit 7.110.040, POST SMTP Mailer (bis 2.8.7) mit 4.890.917, Discount Rules für WooCommerce (bis 2.0.2) mit 3.797.139 und Envato Elements (bis 2.0.10) mit Template Kit (bis 1.0.13) mit 1.742.988. Die aktivste angreifende IP-Adresse, 45.88.138.44, sendete 134.891.593 Anfragen.
Passwortangriffe: Brute-Force bleibt eine große Bedrohung
Wordfence blockierte im zweiten Quartal 18,2 Milliarden Brute-Force-Angriffe, ein Anstieg von 13,8 % gegenüber dem Vorquartal. Ein Brute-Force-Angriff ist ein automatisierter Versuch, Passwörter zu erraten, indem viele Kombinationen schnell ausprobiert werden. Die Zahl der an diesen Passwortangriffen beteiligten eindeutigen IP-Adressen stieg um 55,9 % auf 106,2 Millionen, während die durchschnittliche Anzahl der Anfragen pro IP um 27,0 % auf 171 sank. Der Bericht stellt fest, dass die größten Angriffsvolumina von Botnetzen stammen, aber die geografischen Verteilungskarten werden für die Top-Länder gezeigt. Das kostenlose Plugin von Wordfence enthält Funktionen zum Blockieren bekannter kompromittierter Passwörter und zur Begrenzung von Anmeldeversuchen.
Malware-Intelligence: infizierte Websites nehmen zu
Die Malware-Signaturen von Wordfence erkannten im zweiten Quartal 573.000 verschiedene Websites mit Malware, ein Anstieg von 21,0 % gegenüber dem ersten Quartal. Die Gesamtzahl der eindeutigen Malware-Dateien erreichte 31,6 Millionen, ein Anstieg von 15,2 %. Wordfence veröffentlichte im Quartal 85 neue Malware-Signaturen, ein Rückgang von 4,5 % gegenüber dem Vorquartal. Im Durchschnitt hatte eine infizierte Website 49,3 infizierte Dateien (minus 4,8 %) und 2,2 Malware-Varianten pro Website (minus 7,8 %). PHP-Dateien waren der am häufigsten erkannte Malware-Typ; der Bericht stellt fest, dass PHP-Dateien oft mit Webshells, Backdoors, Infostealern und Card-Skimmern in Verbindung gebracht werden, während JavaScript- und HTML-Dateien häufiger mit Spam in Verbindung stehen. Der Bericht hebt auch hervor, wo Malware am häufigsten hochgeladen wird, obwohl die Diagrammdetails im vollständigen PDF enthalten sind.
Was Website-Betreiber tun sollten
Der Wordfence-Bericht schließt mit praktischen Empfehlungen: Halten Sie Plugins und Themes regelmäßig auf dem neuesten Stand, aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für alle Benutzerkonten, führen Sie regelmäßige Sicherheitsscans durch, verwenden Sie starke und eindeutige Passwörter und verlassen Sie sich auf eine Web Application Firewall wie Wordfence, um Angriffe zu blockieren, bevor Schwachstellen gepatcht werden, und um eine kontinuierliche Überwachung zu gewährleisten. Der Bericht erinnert Website-Betreiber auch daran, dass vollständige Sicherheit sowohl Schutz als auch Erkennung erfordert: Eine Firewall blockiert die anfängliche Kompromittierung, aber ein Malware-Scanner ist erforderlich, um eine bereits gehackte Website zu erkennen. Wordfence bietet Free-, Premium-, Care- und Response-Pläne an; die kostenlose Stufe umfasst eine WAF, die 95 % der bekannten Bedrohungen standardmäßig blockiert, Malware-Scanning und Zwei-Faktor-Authentifizierung, mit einer 30-tägigen Verzögerung bei neuen Signaturen. Premium bietet Echtzeit-Updates und ein Audit-Protokoll, Care fügt Überwachung rund um die Uhr und Behebung hinzu, und Response fügt eine einstündige Incident-Response hinzu.
Für Website-Betreiber, die einen Großteil dieses Schutzes verwaltet haben möchten, können verwaltete WordPress-Hosting-Dienste die Betriebslast reduzieren. AEU Hosting beispielsweise umfasst automatische Backups, Sicherheits-Härtung, SSL-Zertifikate und Leistungsoptimierung auf Serverebene, und sein Support-Team kann Website-Betreibern helfen, schnell zu reagieren, wenn eine schwerwiegende Plugin-Schwachstelle offengelegt wird. Dies ersetzt keine Firewall oder keinen Malware-Scanner auf Anwendungsebene, aber es beseitigt einen Teil der wiederkehrenden Wartungslast.