Stresstest: Sicherheit bei WordPress-Plugins

Stresstest: Sicherheitsvorfälle bei WordPress-Plugins UpdraftPlus und Rank Math

In letzter Zeit häufen sich neben Sicherheitsupdates für WordPress auch die Warnmeldungen zu Plugins, wie z. B. im vorliegenden Fall für UpdraftPlus. Über NinjaFirewall erhalten wir regelmäßig Hinweise wie „Warning: Security update available“. Dann ist schnelles Handeln gefragt: Sicherheitslücken können ausgenutzt werden, bevor betroffene Websites aktualisiert sind. Und jetzt ist auch noch PHP betroffen 🙁

Wir aktualisieren die betroffenen Plugins in solchen Fällen so schnell wie möglich auf den von uns betreuten WordPress-Instanzen.

Besonders betroffen war zuletzt UpdraftPlus Anfang dieser Woche (19.10.2026), das wir auf vielen Kundenprojekten für Backups einsetzen. Für das Plugin erschienen innerhalb kurzer Zeit mehrere sicherheitsrelevante Updates. Innerhalb weniger Stunden waren zwei unserer eigenen Websites betroffen. Nicht die UpdraftPlus-Plugin-Dateien oder die Downloads waren kompromittiert. Im Zentrum des Vorfalls stand ein unbefugter Zugriff auf die Website von TeamUpdraft. Dabei könnten unter anderem Zugangsdaten und UpdraftCentral-Verbindungsschlüssel abgegriffen worden sein. Angreifer nutzten solche Schlüssel, um Befehle an verbundene WordPress-Seiten zu senden und dort offenbar schädliche Plugins zu installieren. Das Risiko betraf vor allem Websites, die mit dem cloudbasierten UpdraftCentral verbunden waren.

TeamUpdraft veröffentlichte am 19. Oktober 2026 Informationen zum Vorfall und stellte anschließend die UpdraftPlus-Versionen 1.26.13 (Free) und 2.26.13 (Premium) bereit, die alte UpdraftCentral-Verbindungen trennen. Wer UpdraftCentral genutzt hat, sollte die betroffenen Websites trotzdem direkt im WordPress-Dashboard prüfen: unbekannte Administrator-Konten und Plugins kontrollieren, Passwörter ändern und bei Verdacht weitere Bereinigungsschritte einleiten. Um sicher zu sein, kann man natürlich auch eine alte Sicherung wiederherstellen. Aber wenn da bereits Schlüssel für UpdraftCentral hinterlegt sind, sollte man nach der Wiederherstellung dieser Sicherung zunächst über UpdraftPlus → Erweiterte Werkzeuge → UpdraftCentral prüfen, ob UpdraftCentral-Schlüssel hinterlegt sind und diese Schlüssel löschen.

TeamUpdraft empfiehlt außerdem, bei einem Zugriff über UpdraftCentral vorsorglich verbundene Speicherzugänge neu zu autorisieren und Zugangsschlüssel zu ändern. Die jeweils aktuellen Hinweise stehen in der Sicherheitsmeldung von TeamUpdraft.

Weitere technische Einordnungen und Berichte zur Ausnutzung der Verbindungsschlüssel gibt es bei Wordfence und bei The Repository. Auch die Entwicklungsseite des Plugins im WordPress-Verzeichnis dokumentiert die verfügbaren Versionen.

Die Plugins mit Schadcode

Die Plugins tarnen sich durch unterschiedlichste Namen wie z. B. „WP Binder“, “Boost Engine”, “site-guard 2d98”, etc., fungieren in Wirklichkeit jedoch als ferngesteuerte Backdoor (Hintertür) zur dauerhaften Übernahme der WordPress-Instanz. Die Plugins sind in der Lage, eigenständig Administrator-Konten (oft im Hintergrund als Schatten-Admins) in der Datenbank anzulegen oder bestehende Logins zu manipulieren, um dem Angreifer jederzeit einen browserbasierten Zugang mit vollen Rechten zu garantieren. Insofern ist eine Kontrolle über die Datenbank wichtig. Wenn in der Datenbank Nutzer angezeigt werden, die dir unbekannt sind und die in deiner WordPress-Benutzeroberfläche nicht angezeigt werden, sind das Schatten-Admins.

Der Vorfall hat uns tatsächlich ziemlich auf Trab gehalten und einige Nerven gekostet.
Deshalb haben wir uns an WP-Wartung24 gewandt und dort hervorragende Unterstützung erhalten. WP-Wartung24 nimmt häufig die Bereinigung gehackter Websites professionell vor. Falls ihr ein ähnliches Problem habt, können wir die Firma für eine umfassende Bereinigung sehr empfehlen. Am Ende konnten wir das Problem lösen – und hoffen, dass nun erst einmal Ruhe einkehrt.

Auch Rank Math PRO betroffen

Zusätzlich gab es einen Sicherheitsvorfall bei Rank Math PRO 3.0.123. Betroffen waren Downloads aus einem begrenzten Zeitraum: vom 15. Oktober 2026, 20:02 UTC, bis zum 16. Oktober 2026, 07:12 UTC. Laut Rank Math enthielten die betroffenen Plugin-Dateien Schadcode, der eine Website kompromittieren konnte, wenn das Plugin aktiviert wurde. Rank Math hat die betroffenen Dateien entfernt und mit Version 3.0.124 eine bereinigte Version veröffentlicht. Wer Rank Math PRO 3.0.123 im betroffenen Zeitraum installiert und aktiviert hatte, sollte die von Rank Math beschriebenen Wiederherstellungs- und Bereinigungsschritte befolgen. Details stehen in der Sicherheitsmeldung von Rank Math.

Aber auch PHP kann Sicherheitslücken enthalten

Ich wollte diesen Beitrag schon veröffentlichen, da flattert eine Meldung rein, dass für heute, 21. Oktober 2026 um 14:00 Uhr UTC (16:00 Uhr MESZ), das PHP-Sicherheitsteam die Veröffentlichung eines kritischen Notfall-Patches angekündigt hat. Das Update schließt zwei gravierende Sicherheitslücken.
Berichten zufolge sind potenziell alle Versionen ab PHP 5.4 betroffen, während offizielle Patches primär für die derzeit unterstützten Zweige (PHP 8.2 bis 8.5) bereitgestellt werden, wobei für PHP 8.2 nur noch Sicherheitsupdates bis 31.12.2026 erhält. Wer jetzt eine ältere PHP-Version auf seiner Website verwendet (siehe Werkzeuge -> Website-Zustand -> Bericht und da unter Server), sollte unbedingt ziemlich schnell PHP auf mindestens 8.3 umstellen. Mehr Infos dazu im folgenden Beitrag. Weitere Beiträge dazu unter Links, Quellen und aktuelle Infos.

Fazit

Solche Vorfälle zeigen einmal mehr: Regelmäßige Updates, aktuelle Backups und eine schnelle Reaktion auf Sicherheitsmeldungen auch von den Hostern sind entscheidend – besonders dann, wenn ein Angriff bereits aktiv ausgenutzt wird. Für viele Websitebetreiber und Agenturen sind solche Dinge ziemlich stressig. Mit der weiteren Entwicklung von AI/KI wird es sicherlich nicht besser, auch wenn es gut ist, wenn AI/KI dabei helfen kann, Sicherheitslücken aufzufinden.

Links, Quellen und aktuelle Infos

Wir freuen uns über eine Kontaktaufnahme

02722-6577725

info@haurand.com

Was hältst du davon?

Wir hoffen, dieser Beitrag hat dir gefallen und wir würden uns über einen Kommentar freuen. Auch über Erweiterungen, Korrekturen, Hinweise oder sonstige Anmerkungen freuen wir uns sehr.

Du kennst unseren Newsletter noch nicht? – Hier findest du eine Übersicht über die bisher versendeten Newsletter. Wenn du keine neuen Beiträge und WordPress-News verpassen möchtest, melde dich jetzt kostenlos für unseren Newsletter an. Den Newsletter bekommst du dann einmal am Anfang des Monats.

Blog: Auf der folgenden Seite findest du weitere interessante Beiträge sortiert nach Kategorien und Schlagwörtern.

haurand.com als bevorzugte News-Quelle zu Google hinzufügen