Zahlen zu WordPress-Schwachstellen machen oft die Runde, häufig aus dem Zusammenhang gerissen. Die beiden großen spezialisierten Datenbanken, Patchstack und Wordfence, veröffentlichen jedes Jahr einen ausführlichen Bericht. Dieser Artikel stellt ihre neuesten Zahlen zusammen, erklärt, was sie wirklich messen, und leitet daraus konkrete Entscheidungen für eine Website ab.
Woher die Zahlen kommen
Patchstack und Wordfence führen jeweils eine Datenbank mit WordPress-Schwachstellen, gespeist von ihren Forschern und von Bug-Bounty-Programmen. Ihre Gesamtzahlen weichen leicht voneinander ab, weil ihr Umfang und ihre Validierungsregeln nicht identisch sind: Für 2024 zählt Patchstack 7.966 neue Schwachstellen, Wordfence 8.223. Wordfence führt einen großen Teil des Anstiegs 2024 selbst auf sein Ende 2023 gestartetes Bug-Bounty-Programm zurück: Wer mehr sucht, findet mehr.
Zwei Folgen für die Interpretation:
- Mehr veröffentlichte Schwachstellen bedeuten nicht automatisch, dass Websites häufiger angegriffen werden;
- Prozentwerte sagen mehr aus als Gesamtzahlen, und für Entscheidungen zählt der tatsächliche Schweregrad (ohne Konto ausnutzbar, bereits ausgenutzt).
Zum Zeitpunkt, an dem wir dies schreiben (Oktober 2026), deckt der neueste Patchstack-Bericht das Jahr 2025 ab; der letzte vollständige Jahresbericht von Wordfence deckt 2024 ab.
Wie viele Schwachstellen, und wo
Laut Patchstack verzeichnete das WordPress-Ökosystem 2025 11.334 neue Schwachstellen, also 42 % mehr als 2024. Ihre Verteilung ist eindeutig:
- 91 % in Plugins;
- 9 % in Themes;
- nur 6 Schwachstellen im WordPress-Core, alle mit niedriger Priorität eingestuft.
Für 2024 stimmen beide Berichte bei 96 % der Schwachstellen in Plugins überein (Patchstack und Wordfence) sowie bei einer Handvoll Schwachstellen im Core (7 laut Patchstack, 5 laut Wordfence).
Unverwundbar ist der Core deshalb nicht. Im Juli 2026 hat WordPress 7.0.2 eine Kette aus zwei Core-Schwachstellen behoben (CVE-2026-63030 und CVE-2026-60137, Spitzname „wp2shell“), die Remote-Codeausführung ohne Konto ermöglichte. Gleichzeitig erschienen die Versionen 6.9.5 und 6.8.6, und WordPress.org hat die automatische Aktualisierung der betroffenen Websites erzwungen. Diese Episode bleibt die Ausnahme, die die Regel bestätigt: Das statistische Risiko liegt in den Plugins, aber Core-Updates sollten automatisch bleiben.
Welche Arten von Schwachstellen
Der Jahresbericht 2024 von Wordfence liefert die Verteilung nach Art (CWE-Klassifikation):
| Rang | Art | Anteil | Was sie ermöglicht |
|---|---|---|---|
| 1 | Cross-Site-Scripting (XSS) | 46 % (3.795 Schwachstellen) | JavaScript einschleusen, das im Browser eines Besuchers oder Administrators ausgeführt wird |
| 2 | Fehlende Berechtigungsprüfung | 13 % (1.178) | Eine geschützte Funktion aufrufen, ohne die erforderliche Rolle zu haben |
| 3 | Cross-Site Request Forgery (CSRF) | 11 % (948) | Einen angemeldeten Administrator unbemerkt eine Aktion ausführen lassen |
| 4 | SQL-Injection | in der Zusammenfassung nicht beziffert | Die Datenbank lesen oder verändern |
| 5 | Informationsleck | in der Zusammenfassung nicht beziffert | Private Inhalte, Dateien oder Pfade offenlegen |
XSS dominiert beim Volumen, aber Wordfence relativiert deutlich: 56 % der 2024 veröffentlichten XSS-Lücken erfordern ein Konto mit mindestens der Rolle Mitarbeiter, und nur 5,7 % lassen sich mit minimalen Zugriffsrechten und ohne Interaktion eines Benutzers ausnutzen. Auf einer Website, auf der außer dir niemand veröffentlichen kann, wird die Mehrheit dieser Lücken wahrscheinlich nicht ausgenutzt.
In der Praxis zählen die Schwachstellen bei der Zugriffskontrolle am meisten. Patchstack gibt an, dass „Broken Access Control“ 2025 die am häufigsten ausgenutzte Kategorie war. Das ist logisch: Eine Verwaltungsfunktion, die ohne Rechteprüfung aufrufbar ist, erlaubt oft, ein Konto anzulegen, eine Option zu ändern oder eine Datei hochzuladen.
Schweregrad, Patches und Tempo der Ausnutzung
| Kennzahl | Wert | Quelle |
|---|---|---|
| Schwachstellen, die sofortigen Schutz erfordern (2025) | 4.124, also 36 % | Patchstack |
| Schwachstellen mit hohem Schweregrad, die massenhaft ausgenutzt werden können (2025) | 1.966, also 17 % | Patchstack |
| Schwachstellen ohne Patch zum Zeitpunkt der Offenlegung (2025) | 46 % | Patchstack |
| Schwachstellen mit großer Tragweite, die innerhalb von 24 Stunden ausgenutzt werden | Die Hälfte | Patchstack |
| Gewichteter Median bis zur ersten Ausnutzung der am stärksten ins Visier genommenen Schwachstellen | 5 Stunden | Patchstack |
| Schwachstellen 2024, die ganz ohne Konto ausnutzbar sind | 19 % | Wordfence |
| Schwachstellen 2024 in Software mit weniger als 10.000 Installationen | 58 % | Wordfence |
| Wegen nicht behobener Schwachstellen von wordpress.org entfernte Plugins und Themes (2024) | 1.614 | Patchstack |
Drei Erkenntnisse ergeben sich daraus.
- Die Zeit bis zum Update ist der entscheidende Faktor. Wenn die erste Ausnutzung innerhalb weniger Stunden erfolgt, kommt ein Update „bei der nächsten Wartung“ für schwere Lücken zu spät.
- Jede zweite Schwachstelle hat bei ihrer Veröffentlichung keinen Patch (46 % im Jahr 2025). In diesen Fällen bleibt nur, das Plugin zu deaktivieren oder zu ersetzen oder übergangsweise eine Regel in einer Web Application Firewall hinzuzufügen.
- Kleine Plugins bündeln die Schwachstellen (58 % unter 10.000 Installationen), große dagegen die Angriffe, weil ein einziger Exploit dort Millionen Websites trifft. Das 2024 laut den Firewall-Regeln von Wordfence am häufigsten angegriffene Plugin war LiteSpeed Cache, das mehrere Millionen Installationen zählt.
Patchstack stellt außerdem fest, dass kostenpflichtige oder „Freemium“-Komponenten 2025 29 % der gültigen Meldungen ausmachen, mit einem höheren Anteil schwerer Lücken und dreimal so vielen aktiv ausgenutzten Schwachstellen wie kostenlose Komponenten. Ein kostenpflichtiges Plugin ist also nicht von Natur aus sicherer.
Was du daraus machen solltest
- Bestandsaufnahme: Liste deine Plugins und Themes auf und lösche die deaktivierten (ein deaktiviertes Plugin kann ausnutzbar bleiben, wenn eine seiner PHP-Dateien direkt aufrufbar ist).
- Automatische Updates für weit verbreitete und gut gepflegte Plugins, mindestens für Sicherheitsupdates.
- Überwachung: Abonniere eine Quelle für Schwachstellenwarnungen (Patchstack-Datenbank, Wordfence Intelligence oder WPScan) für genau deine Plugins.
- Konten: Beschränke die Rollen ab Mitarbeiter aufwärts auf Personen, die sie wirklich brauchen; damit entschärfst du die Mehrheit der XSS-Lücken.
- Von wordpress.org entfernte Plugins: Ein geschlossenes Plugin erhält über das Dashboard keine Updates mehr. Ersetze es.
Mit WP Masquerade
WP Masquerade behebt keine Schwachstellen in Plugins, und seine Anleitung sagt das ausdrücklich. Es verringert aber, was ein Bot über deine Website erfährt: Die kostenlose Version macht die readme- und Übersetzungsdateien der Plugins für Scanner unsichtbar (auf Apache und LiteSpeed), die oft die installierten Versionen verraten. Die Pro-Version ergänzt Aliase für Dateiadressen von Plugins und Themes, die Integritätsprüfung des Core und E-Mail-Benachrichtigungen. Ein Bot, der die Version eines Plugins nicht findet, kann dich schwerer ins Visier nehmen, aber nur das Update beseitigt die Lücke.
Das Wichtigste in Kürze
- 11.334 neue WordPress-Schwachstellen im Jahr 2025 (+42 %), davon 91 % in Plugins und 6 im Core.
- XSS ist die am häufigsten veröffentlichte Art (46 % im Jahr 2024), aber die meisten erfordern ein Mitarbeiter-Konto.
- Fehlerhafte Zugriffskontrolle ist die am häufigsten ausgenutzte Kategorie.
- 46 % der Schwachstellen hatten 2025 bei ihrer Veröffentlichung keinen Patch; die am stärksten ins Visier genommenen werden innerhalb weniger Stunden ausgenutzt.
- Prioritäten: Bestandsaufnahme, schnelle Updates, gezielte Warnungen und Ersatz aufgegebener Plugins.
Quellen
- Patchstack: State of WordPress Security in 2026 (Daten für 2025) (öffnet in neuem Tab)
- Patchstack: State of WordPress Security in 2025 (Daten für 2024) (öffnet in neuem Tab)
- Wordfence: 2024 Annual WordPress Security Report (PDF, April 2025) (öffnet in neuem Tab)
- WordPress.org: WordPress 7.0.2 Release (Juli 2026) (öffnet in neuem Tab)
Weitere herangezogene Quellen: Veröffentlichungen von Sicherheitsforschern.
