3/8 Warum bekannte Sicherheitslücken heute so schnell ausgenutzt werden
Früher blieb nach Bekanntwerden einer Schwachstelle manchmal ausreichend Zeit, um ein Update in Ruhe zu prüfen und einzuspielen. Heute werden veröffentlichte Lücken innerhalb kürzester Zeit automatisiert in Angriffswerkzeuge übernommen.
Patchstack stellte für besonders stark ausgenutzte WordPress-Schwachstellen aus dem Jahr 2025 eine (https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/) bis zur ersten beobachteten massenhaften Ausnutzung fest. Etwa die Hälfte der untersuchten schwerwiegenden Schwachstellen wurde innerhalb von 24 Stunden angegriffen.
Damit entsteht für Betreiber ein Dilemma:
- Wird ein Update nicht sofort installiert, bleibt die bekannte Sicherheitslücke offen.
- Wird ein Update ungeprüft sofort installiert, kann es die Webseite oder andere Erweiterungen beeinträchtigen.
- Existiert noch gar kein fehlerbereinigtes Update, kann der Betreiber die Ursache nicht selbst beseitigen.
Genau deshalb genügt der Rat „Man muss WordPress eben aktuell halten“ heute nicht mehr. Aktualisierungen bleiben unverzichtbar, sind aber nur ein Teil eines professionellen Sicherheitskonzeptes.
Jedes Plugin ist ein zusätzlicher Hersteller in der technischen Lieferkette
Ein Plugin ist nicht einfach nur ein kleiner Schalter im Administrationsbereich. Es ist fremder Programmcode, der mit weitreichenden Rechten innerhalb der Webseite ausgeführt wird. Je nach Aufgabe darf er Daten aus der Datenbank lesen und verändern, Dateien hochladen, E-Mails versenden, Benutzer verwalten, externe Dienste ansprechen oder Inhalte im Browser der Besucher ausgeben.
Mit jedem Plugin wird die technische Lieferkette länger. Der Betreiber muss darauf vertrauen, dass:
- der Entwickler sicher programmiert,
- Zugangsdaten und Veröffentlichungswege des Herstellers geschützt sind,
- Sicherheitsmeldungen ernst genommen werden,
- Updates rechtzeitig erscheinen,
- die Erweiterung mit dem CMS, der PHP-Version, dem Theme und allen anderen Plugins kompatibel bleibt,
- das Geschäftsmodell des Anbieters fortbesteht und
- die Entwicklung nicht plötzlich eingestellt wird.
Zehn Plugins bedeuten daher nicht nur zehn zusätzliche Funktionen. Sie bedeuten bis zu zehn weitere Codebasen, zehn Update-Zyklen, zehn mögliche Fehlerquellen und zehn Hersteller, deren Entscheidungen sich auf die eigene Webseite auswirken können.
Dies ist Artikel 3/8