security

Polens NIS2 Umsetzung gilt seit dem 3. April 2026. Ihre Definition des verwalteten Dienstes umfasst die Fernadministration und beschreibt damit jeden, der fremde WordPress Installationen betreut. Was im Gesetzestext steht und was nicht.

Wir haben das WordPress.org-Verzeichnis vermessen. 35.696 von 69.286 Plugins haben seit zwei Jahren kein Update erhalten. Rund 2.100 davon laufen weiterhin auf je tausend Websites oder mehr.

WordPress.org hält jedes Plugin-Release bis zu sechs Stunden zurück. Patchstack misst die mediane Zeit bis zur Masseausnutzung mit fünf Stunden. Ob ein Sicherheitspatch ausgenommen ist, steht nirgends.

Die Welle des japanischen Keyword-Hacks vom Juli 2026 rendert nur für den Googlebot, weshalb Wordfence, Sucuri und MalCare eine saubere Website melden. Wie Sie das Cloaking mit einem einzigen Befehl nachweisen und in der richtigen Reihenfolge bereinigen.

Ein anonymisierter Rescue-Fall: eine B2B-Dienstleistungsseite kam mit 38 aktiven Plugins, TTFB bei 1,47 s und drei KI-generierten Custom-Plugins an. Wie wir den Stack auf 21 Plugins reduzierten und den medianen TTFB unter 0,7 s brachten, ohne neu zu bauen.

Ein Leitfaden zur Überprüfung von KI-generiertem WordPress-Code. Erkennen Sie 5 häufige Sicherheitslücken in PHP.

WordPress.org hat die verpflichtende Update-Sperre von 24 Stunden auf sechs verkürzt, und sie soll ganz entfallen, sobald die KI-Prüfung Gandalf nichts beanstandet. Was das für Agenturen mit B2B-Websites bedeutet.

Ein echtes Audit einer KMU-WordPress-Site: Elementor festgenagelt auf 3.11.1 mit vier kritischen CVEs und Contact Form 7 auf 5.8, anfällig für CVE-2023-6449 (beliebiger Datei-Upload). Das Muster veralteter Plugins, das schnelle und KI-gestützte Builds hinterlassen, und wie ein Audit es aufspürt.

In einer einzigen Woche im Juni 2026 kamen der Awesome-Motive-CDN-Einbruch, die Kompromittierung der ShapedPlugin-Build-Pipeline und eine 13 Jahre laufende Backdoor-Kampagne ans Licht. Der gemeinsame Nenner: der offizielle Update-Kanal war der Angriffsvektor. Was Shop-Betreiber wirklich ändern sollten.

WordPress 7.0 hat einen Connectors-Bildschirm eingeführt, der Zugangsdaten von KI-Anbietern speichert, und einige Hoster haben KI-Plugins automatisch installiert. Hier sind das Bedrohungsmodell und eine Checkliste zur Absicherung.

Austin Ginder hat in 30 Tagen vier Backdoors in WordPress.org-Plugins offengelegt, dazu kommt ein Autor, der fünf Jahre lang einen verdeckten Update-Server betrieb. Was das für NIS2- und DORA-Abhängigkeitskarten bedeutet.

Artikel 23 der Richtlinie 2022/2555 setzt drei Meldefristen: Frühwarnung innerhalb 24 Stunden, vollständige Meldung innerhalb 72 Stunden, Abschlussbericht innerhalb eines Monats. Was die WordPress-Agentur in jedem Fenster liefern muss.

Einunddreissig Plugins wurden geschlossen, nachdem ein Flippa-Käufer im ersten SVN Commit eine Backdoor platziert hatte. So prüfen Sie Plugin-Eigentümerschaften, erkennen Kompromittierungen und härten Ihre Sites gegen Supply Chain Attacks.

Technische Einordnung zu WordPress-Sicherheitshärtung 2026 - Serverkonfiguration, Passkeys-Authentifizierung, WAF-Setup, CSP-Header, Datenbankschutz, Headless-Sicherheit und eine 25-Punkte-Audit-Checkliste.

Schützen Sie Ihre Geschäftsdaten durch die Wahl von Open Source CMS gegenüber geschlossenen SaaS-Plattformen im Zeitalter der KI. Erfahren Sie mehr über Dateneigentum, DSGVO-Konformität und die Risiken von Vendor Lock-in.

Das berühmte TimThumb-Skript ist ein Relikt und ein Sicherheitsrisiko. Lernen Sie, wie Sie Bilder mit add_image_size() und nativen WP-Funktionen richtig skalieren.

Passwörter sind tot. Zero-Trust ist die neue Norm. Dieser 2000+ Wörter Leitfaden definiert die Sicherheitsarchitektur 2026 für große WordPress-Sites.

Passwörter sind tot. Zero-Trust ist der neue Standard. Dieser Leitfaden definiert die Sicherheitsarchitektur für große WordPress-Seiten in 2026.

Technische Hinweise zur Absicherung von wp-login.php: Admin-Benutzer, Zwei-Faktor-Authentifizierung, Login-URL, Cloudflare Turnstile und Fail2Ban.

Wurde Ihr WordPress gehackt? Keine Panik. Sehen Sie hier den kompletten Schritt-für-Schritt-Prozess zur Entfernung von Viren, Backdoors und Malware. SSH, WP-CLI und SQL Methoden.

Update hat die Seite zerschossen? Keine Panik. 3 bewährte Wege, um WordPress Core, Plugins oder Themes auf eine ältere Version zurückzusetzen.

Umfassender WordPress-Admin-Guide. Lerne, wie du die Seite ohne Plugins sicherst, Google Search Console konfigurierst und das Laden beschleunigst.

Vergleichen Sie die besten WordPress-Plugins 2026 für Sicherheit, SEO, Cache, Backups und Bildoptimierung mit praktischen Ratschlagen, was Sie installieren und was Sie vermeiden sollten.

Jenseits der 5-Minuten-Installation. Erfahre, wie du WordPress für Sicherheit, Debugging und Performance mit wp-config.php Konstanten konfigurierst.

Hören Sie auf, jedem Benutzer "Administrator"-Zugriff zu geben. Meistern Sie WordPress Rollen & Berechtigungen, um sichere Multi-User-Plattformen zu bauen.

Vollständiges White-Labeling Ihres WordPress-Login-Bildschirms. Logo ändern, CSS anpassen, Zwei-Faktor-Authentifizierung implementieren und Login-Seite absichern.

WordPress zeigt standardmäßig seine Version und lädt Hacker ein. Lernen Sie, wie man den Generator-Tag entfernt und Security Header (HSTS, CSP) implementiert.