Das Sicherheitsteam von WordPress hat in diesem Jahr über 3.000 Meldungen zu möglichen Lücken erhalten, mehr als in den zwölf Jahren zuvor zusammen. Den Anstieg führt das Team auf KI-Werkzeuge zurück und setzt nun selbst KI ein. Für Betreiber heißt das: Sicherheitsupdates des Kerns erscheinen im Abstand von Wochen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenZwischen 20 und 30 Meldungen im Monat gingen rund zehn Jahre lang über die Plattform HackerOne beim WordPress-Projekt ein. Im Juli kamen 450, im August 773, schreibt das Sicherheitsteam in seiner Zwischenbilanz vom 29. Oktober.[1] Die Folgen kennen Betreiber aus den vergangenen Wochen, zuletzt aus dem Sicherheitsupdate 7.1.4.
Das Wichtigste in Kürze
- WordPress zählt 2026 über 3.000 Sicherheitsmeldungen, in den letzten 90 Tagen laut HackerOne 2.306.
- Seit Mitte Juli erschienen sieben Sicherheitsupdates des Kerns, vier davon in 41 Tagen. Geschlossen wurden über 50 Lücken der Stufen kritisch oder hoch.
- Ein KI-gestütztes System sortiert eingehende Meldungen vor und sucht selbst nach Lücken. Seit Oktober prüft auch der OSS Scanner von Anthropic den Quelltext.
Warum melden Forscher plötzlich so viele Lücken?
Mit aktuellen KI-Modellen lässt sich Quelltext so leicht wie noch nie nach möglichen Schwachstellen durchsuchen, schrieb das Team beim Start der Initiative Ende August.[2] Viele der neuen Meldungen beruhen nach Einschätzung der Entwickler auf ernsthafter Sicherheitsforschung, die KI-Werkzeuge beschleunigen.
Seit dem 1. September lenkt WordPress Forscher auf Lücken mit erheblichen Folgen, etwa solche, die ohne Anmeldung oder mit einem Abonnentenkonto ausnutzbar sind. Außerhalb von Kern und Gutenberg nimmt das Programm Lücken, die etwa ein Konto mit der Rolle Mitarbeiter voraussetzen, in der Regel nicht mehr an.[3]
Wie hält das Team mit den Meldungen Schritt?
Viel Handarbeit steckte bisher in der Rückportierung. Jede Korrektur erreicht alle älteren Versionsreihen bis zurück zu 4.7. Früher startete das Team dafür je Korrektur Skripte für bis zu 25 Versionsreihen von Hand. Heute sind 73 Prozent der 109 Schritte eines Sicherheitsupdates automatisiert.[1]
Eingehende Meldungen liest ein KI-gestütztes System, stellt die beschriebene Lücke in einer abgeschotteten Testumgebung nach und empfiehlt eine Einstufung. Die Entscheidung treffen weiter die Sicherheitsforscher des Teams. Die Zahl unbearbeiteter Meldungen sank so von 359 auf eine zweistellige Zahl. Dieselben Werkzeuge suchen nun selbst nach Lücken, mit frei verfügbaren Modellen. Am 14. Oktober nahm Anthropic WordPress in seinen OSS Scanner auf, der Open-Source-Projekten kostenlose Prüfungen anbietet.[4] In den Versionshinweisen zu 7.1.4 steht Anthropic bereits als Melder einer Lücke.[5]
Meldungen über HackerOne pro Monat
Vier Sicherheitsupdates in 41 Tagen
| Datum | Version | Abstand |
|---|---|---|
| 17. Sept. | 7.1.1 | Beginn der 41 Tage |
| 22. Sept. | 7.1.2 | fünf Tage später |
| 6. Okt. | 7.1.3 | 14 Tage später |
| 28. Okt. | 7.1.4 | 22 Tage später |
Jede Korrektur erreicht alle älteren Versionsreihen bis zurück zu 4.7. Spam und ungültige Meldungen zählt WordPress in der Monatsstatistik nicht mit.
Warum geht WordPress einen anderen Weg als curl?
Das Projekt hinter dem Werkzeug curl beendete sein Bug-Bounty-Programm auf HackerOne, also die Prämien für gemeldete Lücken, Ende Januar. Gründer Daniel Stenberg wollte damit den Anreiz für erfundene, von KI erzeugte Meldungen beseitigen.[6] WordPress behält das Programm und sortiert maschinell vor. Bei Chrome zeigte sich dasselbe Muster schon im Sommer: Google schloss im Juni mehr Lücken als in zwei Jahren zuvor, die meisten davon fand ein KI-Agent.
Bei 773 Meldungen im Monat wird das Sicherheitsupdate für WordPress-Betreiber vom Ausnahmefall zur Routine.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber und Plugin-Hersteller jetzt tun?
- Automatische Updates prüfen: Kleinere Updates des Kerns spielt WordPress im Hintergrund ein, sofern Hoster oder Plugins das nicht abschalten.
- Wartung umplanen: Agenturen mit vielen Kundenwebsites rechnen besser mit mehreren Kern-Updates im Monat statt mit einem Termin im Quartal. Welche Anbieter Updates selbst einspielen, zeigt der WordPress-Hosting-Vergleich.
- Meldepflicht kennen: Seit dem 11. September gilt Artikel 14 des Cyber Resilience Act. Hersteller, die Software in der EU bereitstellen, schicken bei einer aktiv ausgenutzten Schwachstelle binnen 24 Stunden eine Frühwarnung an das zuständige CSIRT und die ENISA. Darunter fallen in der Regel auch Anbieter, die Plugins oder Themes verkaufen.[7]
FAQ: WordPress-Sicherheitsteam: Über 3.000 Meldungen in diesem Jahr, mehr als in zwölf Jahren zuvor
Muss ich wegen der vielen Sicherheitsmeldungen an meiner WordPress-Website etwas ändern?
Prüfen Sie, ob automatische Hintergrund-Updates für den Kern aktiv sind. WordPress spielt kleinere Sicherheitsupdates dann selbst ein, auch für ältere Versionsreihen bis 4.7. Seit Mitte Juli erschienen sieben solcher Updates.
Was ist der OSS Scanner von Anthropic?
Ein Programm von Anthropic, das Open-Source-Projekten kostenlose Sicherheitsprüfungen mit den leistungsfähigsten Modellen des Unternehmens anbietet. WordPress ist seit dem 14. Oktober dabei und bearbeitet laut Sicherheitsteam erste Funde.
Quellen
7 Quellen anzeigenQuellen ausblenden
- WordPress.org, Make WordPress SecurityThe Core Security Initiative: two months in
- WordPress.org, Make WordPress SecurityThe Core Security Initiative
- WordPress.org, Make WordPress SecurityUpdates to the WordPress Vulnerability Disclosure Program
- Anthropic auf GitHubEnroll WordPress: WordPress core, Pull Request #632, übernommen am 14. Oktober 2026
- WordPress.org NewsWordPress 7.1.4
- The RegisterCurl shutters bug bounty program to remove incentive for submitting AI slop
- EUR-LexVerordnung (EU) 2024/2847 (Cyber Resilience Act), Art. 14 und Art. 71
Mehr Newshunger?
- WordPress-Kern: Über 18.500 Angriffsversuche auf die Sicherheitslücke im Update
- WordPress 7.1.4 schließt 22 Sicherheitslücken, eine davon im Update selbst
- WordPress 7.1.3: das dritte Sicherheitsupdate in 19 Tagen
- WordPress 7.1.2: Notfall-Patch bis zurück zu Version 4.7
- WordPress 7.1.1 schließt elf Sicherheitslücken, zwei davon fand Anthropic
- WordPress will KI-Agenten mit Version 7.3 direkt anbinden
