WordPress führt automatisierte Sicherheitsprüfung für alle Plugin-Updates ein

Security · 14.9.2026

WordPress prüft künftig jedes Plugin-Update vor der Verteilung automatisiert auf Sicherheitsrisiken, um die Lieferkette besser vor Schadcode zu schützen.

WordPress hat eine neue automatisierte Sicherheitsprüfung für sämtliche Plugin-Aktualisierungen angekündigt. Bevor Updates über die offizielle WordPress.org-API an Millionen von Websites verteilt werden, durchlaufen sie eine automatisierte Analyse auf potenzielle Schwachstellen und Schadcode. Ziel dieser Maßnahme ist es, das Einschleusen von Schadsoftware über kompromittierte Entwickler-Accounts oder fehlerhafte Updates frühzeitig zu blockieren.

Warum ist das wichtig?

WordPress betreibt Schätzungen zufolge über 40 Prozent aller Websites weltweit, darunter auch unzählige Unternehmens- und Vereinspräsenzen im DACH-Raum. In der Vergangenheit kam es immer wieder vor, dass legitime Plugins von Angreifern übernommen oder Entwickler-Accounts kompromittiert wurden, um Schadcode per Update an eine breite Masse zu verteilen. Bislang wurden neue Plugins zwar vor ihrer Erstveröffentlichung manuell überprüft, spätere Updates wurden jedoch weitgehend ungeprüft direkt an die Nutzer verteilt. Die Einführung der automatisierten Prüfung für jedes einzelne Update schließt diese kritische Lücke und erhöht die grundlegende Sicherheit des gesamten WordPress-Ökosystems massiv. Für IT-Verantwortliche in Unternehmen reduziert sich dadurch das Risiko, über eine scheinbar harmlose Aktualisierung Schadsoftware in das eigene Netzwerk oder auf den Webserver zu schleusen.

Was Nutzer jetzt tun sollten

Administratoren und Webmaster müssen keine direkten Konfigurationen ändern, da der Prüfprozess serverseitig auf den Systemen von WordPress.org integriert wird. Dennoch sollten Verantwortliche folgende Best Practices beachten:

• Updates nicht ungeprüft automatisieren: Auch wenn das neue System Risiken minimiert, sollten Updates für kritische Unternehmens-Websites idealerweise zunächst in einer Staging-Umgebung getestet werden.
• Plugin-Auswahl minimieren: Installieren Sie nur unbedingt notwendige Plugins und entfernen Sie inaktive Erweiterungen, um die Angriffsfläche generell gering zu halten.
• Zweifaktor-Authentifizierung (2FA): Falls Sie selbst Plugins entwickeln oder pflegen, sichern Sie Ihre WordPress.org-Konten zwingend mit starken Passwörtern und 2FA ab.
• Zusätzliche Sicherheits-Tools nutzen: Vertrauen Sie nicht ausschließlich auf die serverseitige Prüfung. Lokale Web Application Firewalls und Sicherheits-Plugins auf dem eigenen Server bieten weiterhin eine unverzichtbare zweite Verteidigungslinie.

Fazit

Die automatisierte Prüfung von Plugin-Updates ist ein längst überfälliger und sehr willkommener Schritt von WordPress, um die Sicherheit der Lieferkette für Millionen von Webseiten zu stärken. Dennoch entlässt diese Neuerung Administratoren nicht aus der Pflicht, eigene Sicherheitsvorkehrungen zu treffen und Backups vor jedem Update-Prozess anzulegen.

Quelle: The Hacker News