Bis zu 90 Millionen WordPress-Websites könnten derzeit angreifbar sein. Sicherheitsforscher und das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnen vor einer laufenden Angriffswelle, bei der zwei kritische Schwachstellen in WordPress bereits aktiv ausgenutzt werden. Wer seine Website nicht zeitnah aktualisiert, riskiert im schlimmsten Fall die vollständige Übernahme des Systems.
Was ist passiert?
Die WordPress-Entwickler haben Sicherheitsupdates veröffentlicht, die zwei kritische Schwachstellen schließen. Problematisch ist jedoch, dass Angreifer die Lücken bereits ausnutzen, bevor viele Betreiber ihre Systeme aktualisiert haben.
Besonders kritisch: Die beiden Sicherheitslücken lassen sich kombinieren. Dadurch können Angreifer ohne Anmeldung eigenen Schadcode auf einem verwundbaren WordPress-System ausführen und die Website vollständig kompromittieren. Die Angriffe erfolgen dabei direkt gegen den WordPress-Kern – installierte Plugins spielen hierfür keine Rolle.
Welche WordPress-Versionen sind betroffen?
Nach Angaben des BSI und der WordPress-Entwickler gelten insbesondere folgende Versionen als verwundbar:
- WordPress 6.8.0 bis 6.8.5
- WordPress 6.9.0 bis 6.9.4
- WordPress 7.0.0 bis 7.0.1
- WordPress 7.1 Beta
Die Sicherheitsupdates stehen bereits bereit und sollten umgehend installiert werden.
Warum die Gefahr besonders groß ist
Viele Betreiber verlassen sich darauf, dass ihre Website „einfach funktioniert“. Tatsächlich werden Sicherheitsupdates jedoch häufig verschoben – sei es aus Zeitmangel oder aus Sorge, dass nach einem Update etwas nicht mehr funktioniert.
Genau diese Verzögerung nutzen Angreifer aus.
Laut aktuellen Schätzungen basieren weltweit über 600 Millionen Websites auf WordPress. Selbst wenn der Großteil bereits aktualisiert wurde, könnten noch rund 90 Millionen Installationen verwundbar sein. Damit bleibt die potenzielle Angriffsfläche enorm.
Was kann passieren, wenn eine Website übernommen wird?
Ein erfolgreicher Angriff bleibt oft zunächst unbemerkt. Häufig werden kompromittierte Websites genutzt, um:
- Schadsoftware zu verbreiten
- Spam oder Phishing-Seiten einzuschleusen
- Besucher auf betrügerische Webseiten umzuleiten
- Zugangsdaten zu stehlen
- weitere Angriffe auf interne Systeme vorzubereiten
Neben dem Imageschaden drohen auch Datenschutzverstöße, Suchmaschinen-Abstrafungen und längere Ausfallzeiten.
Was Website-Betreiber jetzt tun sollten
Wenn Ihre Website auf WordPress basiert, empfehlen wir folgende Schritte:
- WordPress-Version prüfen
- Sicherheitsupdates sofort installieren
- Plugins und Themes ebenfalls aktualisieren
- Backups auf Aktualität prüfen
- Logdateien auf ungewöhnliche Aktivitäten kontrollieren
- Regelmäßige Wartung etablieren
Gerade Unternehmenswebsites werden häufig zum Ziel automatisierter Angriffe. Deshalb reicht es nicht aus, nur auf neue Funktionen zu achten – die kontinuierliche Pflege der Website gehört heute zur grundlegenden IT-Sicherheit.
Sicherheit ist kein einmaliges Projekt
Die aktuelle Angriffswelle zeigt erneut: Cyberkriminelle warten nicht darauf, bis Unternehmen Zeit für Updates finden.
Eine professionell betreute Website erhält Sicherheitsupdates zeitnah, wird regelmäßig überwacht und kann im Ernstfall schnell wiederhergestellt werden. Dadurch sinkt das Risiko eines erfolgreichen Angriffs erheblich.
Fazit
Wer WordPress einsetzt, sollte jetzt prüfen, ob die eigene Website auf dem aktuellen Stand ist. Die notwendigen Sicherheitsupdates stehen bereits zur Verfügung, gleichzeitig laufen die ersten automatisierten Angriffe bereits.
Je schneller die Aktualisierung erfolgt, desto geringer ist das Risiko, Opfer dieser Angriffswelle zu werden.