WordPress betreibt fast die Hälfte des Webs und ist damit die am häufigsten angegriffene Plattform im Internet. 2025 hat sich die Bedrohungslage so verschoben, dass die meisten herkömmlichen Sicherheitsstrategien nicht mehr ausreichten: Die Zahl der Schwachstellen stieg stark an, die Zeit bis zur Ausnutzung schrumpfte auf Stunden, und Malware überstand Bereinigungen immer besser.
Diese Übersicht zeigt WordPress- und WooCommerce-Betreibern anhand von Sicherheitsdaten aus 2025, welche realen Risiken ihren Websites drohen und welche praktischen Schritte die Lücken schließen.
Wie schlimm wurde es 2025 mit WordPress-Schwachstellen?
11,334+42%
Neue Schwachstellen
2025 im gesamten WordPress-Ökosystem gefunden, mehr als im Vorjahr.
4,124Handlungsbedarf
Schutzmaßnahmen nötig
Schwer genug, um aktive Schutzmaßnahmen zu erfordern.
1,966Hoher Schweregrad
Risiko von Massenangriffen
Mehr Probleme mit hohem Schweregrad als in den beiden Vorjahren zusammen.
Das ist kein allmählicher Trend. Es ist eine deutliche Zunahme der Aufmerksamkeit, die Angreifer WordPress widmen.
Woher die Schwachstellen stammen
Plugins91%
Aller neu gemeldeten Schwachstellen.
Themes9%
Die übrigen neuen Meldungen.
WordPress-Core6 Probleme
Alle mit niedriger Priorität. Nicht der Core ist das Problem – sondern die Drittanbieter-Schichten darüber.
Sind Premium-Plugins wirklich sicherer?
Nein. Premium-Komponenten sind oft sogar der größere blinde Fleck. Eine gezielte Untersuchung von Komponenten aus Premium-Marktplätzen, darunter solche, die über Envato verkauft werden, ergab:
- Fast 2.000 gültige Meldungen zu Premium- oder Freemium-Komponenten – 29 % aller Meldungen.
- 76% der Schwachstellen in Premium-Komponenten waren bei realen Angriffen ausnutzbar.
- 3× mehr bekanntermaßen ausgenutzte Schwachstellen als kostenlose Komponenten.
- 33 kritische Zero-Days in Premium-Komponenten, gegenüber 12 in kostenlosen.
Das liegt nicht daran, dass Premium-Plugins nachlässiger entwickelt werden. Forscher haben nur begrenzt Zugang zu kostenpflichtigem Code, daher prüfen ihn weniger Augen. Weniger Prüfung bedeutet weniger Bewusstsein für das Risiko, nicht weniger Risiko.
Wie viele wurden vor der Veröffentlichung gepatcht?
Nur 54 %. Die übrigen 46 % wurden öffentlich, bevor der Entwickler einen Fix ausgeliefert hatte, und lieferten Angreifern oft die Details, bevor Website-Betreiber irgendetwas installieren konnten. Plugin-Updates allein können nicht Ihre Sicherheitsstrategie sein, wenn für fast die Hälfte der veröffentlichten Lücken noch kein Patch existiert.
Wie schnell Angreifer nach der Veröffentlichung zuschlagen
Schneller als die meisten Update-Zyklen. Bei den am stärksten angegriffenen Schwachstellen betrug der gewichtete Median von der Veröffentlichung bis zur aktiven Ausnutzung fünf Stunden, und etwa die Hälfte der Schwachstellen mit hoher Tragweite wurde innerhalb von 24 Stunden ausgenutzt – genau dann, wenn die meisten Admins noch nichts davon wissen oder noch nicht gepatcht haben.
Was am häufigsten ausgenutzt wird
Fehlerhafte Zugriffskontrolle führte 2025 die Liste an. Sie ist schwer abzuwehren, weil die Angriffe wie normales Verhalten angemeldeter Nutzer aussehen, ohne offensichtliche Injection-Strings, die eine klassische Firewall erkennen könnte. Weitere stark ausgenutzte Klassen:
- Stored Cross-Site Scripting ohne Authentifizierung
- Datei-Upload ohne Authentifizierung
- Umgehung der Autorisierung
- Rechteausweitung
- PHP Object Injection
WooCommerce-Plugins schafften es in die Top Ten der meistangegriffenen Ziele, darunter eine Rechteausweitung in WooCommerce Payments aus dem Jahr 2023, die in ungepatchten Shops weiterhin ausgenutzt wird.
Wie gut halten Standard-Schutzmaßnahmen beim Hosting stand?
Nicht gut genug. Penetrationstests bei verschiedenen Hosting-Anbietern ergaben, dass Standard-Setups, einschließlich interner WAFs und Cloudflare, nur 26 % der WordPress-Exploit-Versuche blockierten – und bei bekanntermaßen ausgenutzten Schwachstellen gerade einmal 12 %. Generische WAF-Regeln wehren generische Angriffe recht gut ab, verfehlen aber die WordPress-spezifischen Klassen, die hinter den meisten realen Angriffen stecken.
Was nach der Kompromittierung einer Website passiert
Warum Malware heute schwerer zu entfernen ist
Angreifer schleusen ihren Code zunehmend in legitime Core-, Plugin- oder Theme-Dateien ein, statt eigenständige Schaddateien abzulegen. Da die Ausgangsdatei legitim ist, schlagen löschbasierte Scanner nur sporadisch an oder übersehen sie ganz – und wer sie löscht, legt die Website lahm. Bereinigung bedeutet heute, das Code-Fragment chirurgisch aus einer ansonsten gültigen Datei zu entfernen.
Es gibt ein saisonales Muster
Bösartige Datei-Uploads haben sich im November und Dezember 2025 fast verdreifacht. Im vierten Quartal treffen Traffic-Spitzen auf dünne Personaldecken, sodass Angreifer seltener schnell entdeckt werden. Shops mit Weihnachtsaktionen befinden sich in der risikoreichsten Phase des Jahres – mit den wenigsten Leuten, die reagieren können.
Die aktivsten Malware-Familien 2025
TarnmusterZum Öffnen tippen
Selektive Auslieferung von Inhalten
Kampagnen wie Japanese SEO Spam, jgalls und Parrot TDS zeigen unterschiedlichen Besuchern unterschiedliche Inhalte: Spam für Suchmaschinen-Crawler, Phishing-Weiterleitungen für Menschen, saubere Seiten für Betreiber und Scanner. Parrot TDS erkennt inzwischen auch KI-Trainings-Crawler. Oft merken Sie es erst, wenn sich Kunden beschweren oder der organische Traffic einbricht.
Persistenz im Arbeitsspeicher
Lock360 läuft im Arbeitsspeicher des Servers, nicht in Dateien. Bereinigen Sie index.php oder .htaccess, schreibt der Prozess den Schadcode sofort zurück. Der Kreislauf geht weiter, bis der Prozess im Arbeitsspeicher beendet wird – etwas, das die meisten Standard-Scanner nicht können.
Uploader-Infrastruktur
Uploader-Skripte haben sich im Juni 2025 fast verdoppelt und blieben auf hohem Niveau. Mit ihnen können Angreifer jederzeit neue Payloads einspielen, sodass eine von einer Infektion bereinigte Website über einen schlummernden Uploader, der die Bereinigung überstanden hat, erneut infiziert werden kann.
Wie die Lage zu Beginn von 2026 aussieht
KI-gestützte Entwicklung beschleunigt die Produktion individueller Plugins: Agenturen erzeugen Funktionen auf Abruf und kombinieren KI-generierte React-Frontends mit einem WordPress-Backend. Dadurch wächst die Angriffsfläche über Core, Plugins und Themes hinaus auf individuelle Komponenten, JavaScript-Pakete und PHP-Abhängigkeiten, für deren Prüfung Standard-WordPress-Scanner nicht gebaut wurden.
Dieselben KI-Tools, mit denen Websites schneller entstehen, helfen auch Angreifern, Schwachstellen eigenständig zu finden und auszunutzen.
Und der EU Cyber Resilience Act drängt kommerzielle Plugin-Anbieter dazu, formelle Programme zur Offenlegung von Schwachstellen einzuführen. Den meisten fehlen noch die Ressourcen, um hohe Meldungsvolumen zu bewältigen, wodurch sich die Lücke zwischen dem Fund einer Schwachstelle und dem Vorliegen eines Patches weiter öffnen könnte.
Was Shop-Betreiber jetzt tun sollten
Wo steht Ihr Shop?0 von 6 umgesetzt
Haken Sie ab, was Ihr Shop heute schon umgesetzt hat.
Kostenloses Audit anfordernDas Fazit zur WordPress-Sicherheit 2026
Die Grundlagen haben sich nicht geändert: Software aktuell halten, Plugin-Wildwuchs begrenzen und starke Zugangsdaten verwenden. Geändert hat sich, dass sie allein nicht mehr ausreichen.
Exploits schlagen innerhalb von Stunden zu. Malware ist darauf ausgelegt, Standard-Bereinigungen zu überstehen. Premium-Plugins bergen versteckte Risiken. Und KI-generierte Komponenten vergrößern die Angriffsfläche immer weiter.
Wirksame Sicherheit bedeutet 2026: automatisierte Schutzmaßnahmen, die in den ersten Stunden nach einer Veröffentlichung greifen, Erkennung auf Serverebene, die eingeschleuste und speicherresidente Bedrohungen findet, und klare Transparenz über jede Komponente der Website. Behandeln Sie Sicherheit als fortlaufenden Prozess, nicht als Aufräumarbeit, nachdem etwas schiefgegangen ist.
