WordPress-Sicherheit 2026: das Ende unsicherer Plugins
Der Mythos, WordPress sei unsicher hält sich seit Jahren hartnäckig. Meistens kommt diese Kritik von Menschen, die Sicherheit falsch definieren. Sie machen die Sicherheit des gesamten Systems allein daran fest, ob irgendwo auf der Welt eine einzige Erweiterung (ein sogenanntes Plugin) schlecht programmiert wurde. Wer so argumentiert, hat das Prinzip eines modernen Web-Ökosystems nicht verstanden.
Die Realität im Jahr 2026 sieht völlig anders aus: WordPress ist das wohl sicherste Content-Management-System (CMS) auf dem Markt. Und durch eine aktuelle Neuerung wird es jetzt auch beim Thema Drittanbieter-Erweiterungen noch einmal deutlich sicherer. Das Vertrauen ist hoch – sogar die europäische Kernforschungsorganisation CERN gab auf der WordCamp Europe 2026 bekannt, ihre Haupt-Webpräsenz vollständig auf WordPress migriert zu haben.
Inhaltsverzeichnis
1. Das eigentliche Sicherheitsproblem von WordPress
ist nicht das System, sondern die Extras.
Um die Sache richtig einzuschätzen, müssen wir zwischen dem WordPress Core und den Plugins sowie Themes unterscheiden.
WordPress investiert seit Jahren massiv in die Sicherheit des Hauptsystems:
-
Automatische Updates: Sicherheitsupdates werden schnell im Hintergrund eingespielt.
-
Strenge Kontrollen: Der Code des Hauptsystems wird von vielen Experten genauestens überprüft (im gesamten Jahr 2025 gab es im Core lediglich zwei dokumentierte Schwachstellen).
-
Schnelle Hilfe: Taucht doch einmal eine Lücke auf, wird sie in kürzester Zeit geschlossen.
Das Problem liegt also fast nie an WordPress selbst. Die nackten Zahlen der Sicherheitsplattform Patchstack zeigen die Realität:
Rund 83 % aller Schwachstellen entfallen auf Plugins , die restlichen 17 % auf Themes.
Der wöchentliche Durchschnitt liegt mittlerweile bei über 250 neuen Schwachstellen in Erweiterungen. Das größte Risiko dabei ist die Trägheit im Ökosystem: Über die Hälfte der Plugin-Entwickler patcht Lücken nicht vor deren Veröffentlichung, und fast 30 % aller fehlerhaften Plugins wurden von ihren Autoren komplett aufgegeben.
Selbst millionenfach installierte Erweiterungen wie Elementor, Yoast SEO, WPForms oder Really Simple Security mussten Anfang 2026 zeitgleich kritische Updates für über 29 Millionen Installationen bereitstellen.
Die neue Gefahr: Angriffe auf die Lieferkette (Supply-Chain-Angriffe)
Die größte Bedrohung im Jahr 2026 sind keine einfachen Programmierfehler, sondern gezielte Übernahmen. Hacker kaufen über Marktplätze wie Flippa ältere, etablierte Plugins auf. Weil es bisher beim Besitzerwechsel keine automatische Code-Prüfung gab, konnten Angreifer unbemerkt Schadcode einschleusen.
Ein interessanter Fall im April 2026 zeigte, wie die Angreifer vorgehen:
Ein anonymer Käufer übernahm eine Plugin-Reihe, baute eine versteckte Hintertür (Backdoor) ein und wartete acht Monate lang ab, um Entdeckungen zu vermeiden. Erst dann wurde der Schadcode aktiviert, der sich über Blockchain-Technologie mit den Servern der Hacker verband. Das Ziel: unsichtbarer SEO‑Spam, den nur Google bemerkte, während die Webseitenbetreiber ahnungslos blieben.
2. Was ist „Protect The Shire“?
Genau an diesem Schwachpunkt setzt WordPress nun mit einer neuen Schutzschicht an. Mit der Initiative „Protect The Shire“ gibt es kurz nach dem Release von WordPress 7.0 eine zusätzliche Sicherheitsstufe für Plugin- und Theme-Updates.
So funktioniert "Protect the Shire"
Neue Versionen von Plugins und Themes werden vor der automatischen Auslieferung für bis zu 24 Stunden zurückgehalten . In dieser Wartezeit (Cooldown-Periode) finden im Hintergrund zusätzliche Sicherheitsprüfungen statt.
Das Besondere daran ist der Einsatz des neuen KI-Sicherheits-Bots „Gandalf“ .
Diese künstliche Intelligenz scannt den neuen Code in Echtzeit auf verdächtige Muster, unerlaubte Verbindungen oder versteckte Schadfunktionen, noch bevor das Update auf den Websites der Nutzer landet. Unterstützt wird dies durch das neue WordPress 7.0 „Armstrong“ , dessen neue Schnittstellen es der KI erleichtern, Abweichungen zwischen angekündigtem und tatsächlichem Code-Verhalten sofort zu erkennen.
3. Drei Sichtweisen auf die neue Sicherheitsstufe von WordPress
Die neue Funktion bringt viele Vorteile, bedeutet aber für verschiedene Gruppen auch kleine Umstellungen:
1. Für Webseitenbetreiber: Ein riesiger Sicherheitsgewinn
Bisher musstest du dich entscheiden: Installierst du Updates sofort, um bekannte Lücken zu schließen, oder wartest du lieber, falls das Update Probleme enthält? Diese Sorge nimmt die neue KI-Prüfung den Betreibern jetzt ab. Beachte aber die Bedenken, auf die wir in Punkt 2 eingehen.
2. Für Entwickler: Mehr Probleme als Nutzen?
Für Entwickler bedeutet das neue System erst mal eine kurze Verzögerung. Dahinter steckt ein klassisches Abwägen von Risiken: Wartet man länger, sinkt die Gefahr eines Supply-Chain-Angriffs, weil die KI (der Bot namens „Gandalf“) mehr Zeit zum Scannen hat. Wartet man zu kurz, bleibt weniger Zeit für die Prüfung. Das Ziel von „Protect The Shire“ ist es zwar, Gandalf so schnell zu machen, dass diese Prüfzeit gegen null geht – in der aktuellen Phase bringt das aber noch ein paar Herausforderungen mit sich.
Zum einen besteht das Risiko, dass Fehlalarme (False Positives) saubere Updates blockieren. Wenn sich dadurch ein wichtiger Security-Fix verzögert, kann das in der Praxis zu Problemen führen. Torsten Landsiedel hat in seinem Blog einige Punkte aufgezeigt, wo das System momentan noch etwas hakt:
-
Ungünstiges Zeitfenster: Während das Update im WordPress-Backend für 24 Stunden zurückgehalten wird, ist das Changelog in der
readme.txtauf WordPress.org oft schon sofort sichtbar. Wenn dort eine geschlossene Sicherheitslücke dokumentiert ist, ist die Information im Grunde schon öffentlich, bevor Admins das Update ganz bequem per Klick einspielen können. Da Lücken laut Patchstack manchmal schon nach wenigen Stunden ausgenutzt werden, entsteht hier eine unglückliche Verzögerung. -
Keine Ausnahme für manuelle Klicks: Die Sperre betrifft nicht nur automatische Updates im Hintergrund. Das Update wird im Backend generell erst nach einem Tag angezeigt, sodass man es auch nicht mal eben schnell manuell anstoßen kann.
-
Unterschiedliches Verhalten: Interessanterweise gilt die Sperre nur für bestehende Seiten. Wer das Plugin auf einer Website komplett neu installiert, bekommt sofort die aktuellste Version inklusive des Fixes.
-
Mehr Aufwand im Notfall: Wer bei einer bekannten Lücke nicht warten möchte, muss auf Umwege ausweichen. Das bedeutet entweder den manuellen Download der ZIP-Datei von WordPress.org oder den Weg über die Kommandozeile mittels WP-CLI (
wp plugin update <plugin-slug> --version=<neue-versionsnummer>).
Unterm Strich ist der Ansatz von WordPress absolut nachvollziehbar und wichtig, um die Sicherheit langfristig zu erhöhen. In der Praxis zeigt sich aber, dass die 24-stündige Verzögerung Admins in dringenden Fällen etwas ausbremst. Solange die KI-Prüfung nicht fast in Echtzeit läuft, bleibt hier definitiv noch etwas Nachbesserungsbedarf.
3. Der rechtliche Druck (Cyber Resilience Act)
Die Umstellung ist auch rechtlich überlebenswichtig: Am 21. September 2026 tritt der europäische Cyber Resilience Act (CRA) in Kraft. Dieses Gesetz nimmt Software-Plattformen in die Pflicht, für die Sicherheit ihrer Produkte zu haften. „Protect The Shire“ ist für WordPress also auch eine existenzielle Absicherung, um die strengen europäischen Regeln einzuhalten.
Der Cyber Resilience Act (CRA) der EU ist ein Gesetz, das verbindliche Cybersicherheitsstandards für fast alle vernetzten Produkte (Hard- und Software) einführt. Ziel ist es, den europäischen Markt sicherer zu machen und digitale Produkte vom Design bis zum Support besser vor Cyberangriffen zu schützen.
Die Regelungen gelten für alle Unternehmen (Hersteller, Importeure und Händler), die Produkte mit „digitalen Elementen“ auf den europäischen Markt bringen. Betroffen sind fast alle internetfähigen Geräte – von Smart-Home-Geräten über Router, Kameras und medizinische Wearables bis hin zu Betriebssystemen und Apps.
Mehr Informationen zum Cyber Resilience Act kannst du hier nachlesen.
4. Praktische Tipps für Admins
Dass WordPress im Jahr 2026 derart moderne, KI-gestützte Sicherheitsbarrieren errichtet, zeigt, wie absurd die veraltete Kritik an der Plattform ist. Wer heute immer noch behauptet, WordPress sei von Grund auf unsicher, verwendet als Admin-Passwort wahrscheinlich noch „test123“.
Um Webseiten im Jahr 2026 perfekt zu schützen, solltest du folgende Profi-Tipps beherzigen:
-
Passkeys statt Passwörter: Nutze eine passwortlose Anmeldung (FIDO2/Passkeys) – das schützt effektiv vor Phishing.
-
Datei-Überwachung (FIM): Da Angreifer Schadcode oft direkt in bestehende Core-Dateien (wie die
wp-config.php) injizieren, ist eine serverbasierte Überwachung der Datei-Integrität interessant. -
Automatische CLI-Scans: Nutze Tools wie WPScan oder Patchstack direkt auf dem Server, um Schwachstellen sofort zu finden.
-
Notfallplan bereitlegen: Definiere klare Abläufe für den Ernstfall (System isolieren, Backups extern einspielen und alle Zugangsdaten sofort ändern).
