Deine Website läuft: die Seiten laden, das Kontaktformular funktioniert und Anfragen kommen rein. Es ist also alles in Ordnung, oder?
Nicht unbedingt. In den letzten Wochen wurden mehrere kritische Sicherheitslücken in weit verbreiteten WordPress-Erweiterungen bekannt. Das Gemeine daran ist: oftmals merkst du erst, dass etwas nicht mehr stimm, wenn es schon zu spät ist.
Aktuelle Sicherheitslücken
Elementor Pro: Angriff über das Upload-Feld
Elementor Pro ist einer der beliebtesten Seitenbaukasten für WordPress und läuft auf rund sechs Millionen Websites. Im August wurde eine Lücke mit der höchsten Gefahrenstufe bekannt (CVE-2026-32475, CVSS 9.8 von 10).
Das Einfallstor war ausgerechnet ein Formular. Hatte eine Seite ein Elementor-Formular mit einem Feld zum Hochladen von Dateien, konnten Angreifer ohne Anmeldung schädlichen Code einschleusen. Am Ende dieser Kette steht die komplette Übernahme der Website.
Betroffen sind alle Versionen bis 4.2.1. Das Update auf Version 4.2.2 erschien am 19. August. Im September berichteten IT-Blogs bereits von Websites, auf denen die Lücke ausgenutzt wurde.
The Events Calendar: zwei kritische Lücken auf einmal
Wer auf seiner Website Termine, Seminare oder Veranstaltungen zeigt, nutzt häufig das Plugin The Events Calendar. Hier wurden gleich zwei Lücken mit dem Wert 9.8 gefunden (CVE-2026-78006 und CVE-2026-78159). Mehr als 600.000 Websites waren betroffen.
Auch hier konnten Angreifer ohne Login die Kontrolle übernehmen. Ein Ansatzpunkt waren die Kommentare auf Veranstaltungsseiten. Version 6.17.4.1 vom 10. September schließt die Lücke.
Ein Detail, das zu denken gibt: Kunden der kostenpflichtigen Sicherheitslösung Wordfence waren ab dem 22. August geschützt. Nutzer der kostenlosen Version bekamen denselben Schutz erst am 21. September, also einen Monat später.
Und es geht weiter
Allein Anfang Oktober kamen weitere Meldungen dazu:
- Unlimited Elements for Elementor: die zweite Lücke ohne Login innerhalb von drei Wochen. Rund ein Viertel der über 300.000 Installationen läuft noch auf einem alten Versionszweig. (Dr. Web)
- MetForm: Das Formular-Plugin mit über 600.000 Installationen gab Formulareinträge ohne Login preis. (Dr. Web)
- W3 Total Cache: die dritte Kommentar-Lücke in sieben Wochen, bei über 900.000 Websites. (Dr. Web)
Warum „bei uns passiert schon nichts“ nicht stimmt
Viele Inhaber denken, ihre Website sei zu klein, um interessant zu sein. Doch Angreifer suchen nicht gezielt nach dir. Sie suchen automatisiert nach jeder Website mit einer bestimmten veralteten Version. Ob dahinter ein Konzern oder ein Handwerksbetrieb steckt, ist ihnen egal.
Die Folgen treffen dich trotzdem persönlich: Spam, der über deine Domain verschickt wird, ein Google-Warnhinweis vor deiner Seite, abfließende Kundendaten aus Formularen. Und bei Formulardaten kommt schnell der Datenschutz ins Spiel.
Das kannst du jetzt tun
- Prüfe im WordPress-Dashboard, ob Elementor Pro, The Events Calendar und deine anderen Plugins auf dem neuesten Stand sind.
- Entferne Plugins, die du nicht mehr nutzt. Jedes Plugin ist eine mögliche Tür.
- Schau dir die Benutzerkonten an. Gibt es Administratoren, die du nicht kennst?
- Stelle sicher, dass regelmäßige Backups laufen, die außerhalb deiner Website gespeichert werden.
Oder du gibst es ab
Updates einspielen, Backups prüfen, Sicherheitsmeldungen verfolgen: Das ist kein Hexenwerk, aber es muss regelmäßig passieren. Genau das übernehmen wir mit unserer Website-Wartung, damit du dich auf dein Geschäft konzentrieren kannst.