WordPress sofort verlassen? Warum dieser Rat unseriös ist

Ein Redner des Cyberversicherers Coalition hat in Melbourne laut einem Dienstleister geraten, WordPress schnellstmöglich zu verlassen. Coalitions eigene Warnung zur Lücke WP2Shell verlangt etwas anderes: das Update auf 7.0.2.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

WordPress so schnell wie möglich zu verlassen: Diesen Rat hörte der Kunde eines WordPress-Dienstleisters nach dessen Schilderung am 6. Oktober auf dem „Health Sector Cyber Resilience Summit“ in Melbourne. Eine Alternative nannte der Coalition-Redner dem Bericht zufolge nicht. Ausgerichtet hatten das Treffen laut Veranstaltungsseite CyberCert und Infotrust, Coalition stand mit Vortrag und Panel im Programm.^[1]

Eine Aufzeichnung des Vortrags fand die Redaktion ebenso wenig wie eine Stellungnahme von Coalition. Überprüfbar bleibt, was der Versicherer schriftlich empfiehlt. Gemessen an diesen Empfehlungen wäre ein solcher Pauschalrat unseriös.

Das Wichtigste in Kürze

• Laut einem Dienstleister riet ein Coalition-Redner in Melbourne pauschal von WordPress ab.
• Coalitions eigene Warnung zur Lücke WP2Shell verlangt ein Update, keinen Plattformwechsel.
• Drupal und Magento hatten 2026 ebenfalls kritische, aktiv angegriffene Lücken.
• Cyberpolicen nach GDV-Muster fordern Patch-Management, kein bestimmtes CMS.

Was empfiehlt Coalition schriftlich?

Am 20. Juli warnte Coalitions Sicherheitsabteilung vor WP2Shell, einer Kette aus zwei Lücken im WordPress-Kern.^[2] Adam Kues von Searchlight Cyber hatte die Kette drei Tage zuvor veröffentlicht: Anonyme Angreifer konnten eine Standardinstallation ohne Plugins übernehmen, betroffen waren die Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1.^[3] WordPress.org verteilte den Fix als Zwangsupdate auf 7.0.2.

Die Empfehlung des Versicherers lautete: auf 6.9.5 oder 7.0.2 aktualisieren und automatische Hintergrund-Updates einschalten. Eine Web Application Firewall bremse Angreifer nur, vollständig schütze allein der Patch.^[2] Von einem Plattformwechsel steht in der Warnung kein Wort.

Ist WordPress unsicherer als andere Systeme?

Kritische Lücken trafen 2026 auch die Konkurrenz. Drupal stufte im Mai eine SQL-Injection im Kern, die nur Websites mit PostgreSQL-Datenbank trifft, mit 23 von 25 Risikopunkten als hochkritisch ein. Zwei Tage später meldete das Sicherheitsteam erste Angriffsversuche.^[4] Adobe bewertete im September eine Lücke in Adobe Commerce und Magento Open Source mit dem CVSS-Höchstwert 10,0, ausnutzbar ohne Anmeldung und bereits für Angriffe genutzt.^[5]

Über die Sicherheit einer Website entscheidet der Patchstand, nicht das Logo im Footer. Die echte Schwachstelle von WordPress liegt in den Erweiterungen: Im Formular-Plugin WPForms tauchte binnen 15 Tagen die dritte Lücke ohne Login auf, im Spamschutz CleanTalk seit Juni die fünfte. Ein überstürzter Umzug senkt das Risiko kaum: Die alte Website läuft während der Migration weiter, das neue System bringt eigene Lücken mit.

Was verlangen Cyberversicherer in Deutschland?

Die Musterbedingungen des Versicherungsverbands GDV für Cyberpolicen schreiben kein CMS vor. Gefordert ist ein Patch-Management, das relevante Sicherheitsupdates zeitnah installiert. Systeme mit bekannten Lücken dürfen nur mit zusätzlicher Absicherung laufen.^[6] Bei grob fahrlässigem Verstoß darf der Versicherer kündigen und die Leistung kürzen.^[6] Dass die Branche das Cyberrisiko schärfer bepreist, zeigt der Vorstoß der Hannover Rück für höhere Cyber-Prämien.

Websitebetreiber sollten deshalb vier Punkte klären:

• Lassen Sie sich Plattform-Vorgaben des Versicherers schriftlich geben. Maßgeblich ist der Vertrag, nicht der Vortrag.
• Dokumentieren Sie Updates von Kern, Plugins und Themes mit Datum. Im Schadenfall belegt das Protokoll die erfüllte Obliegenheit.
• Ersetzen Sie Plugins, die seit über einem Jahr kein Update erhalten haben.
• Wechseln Sie das System nur aus fachlichen Gründen und mit Migrationsplan. Viele Anbieter aus dem WordPress-Hosting-Vergleich spielen Kern-Updates selbst ein.

Für den Kunden aus dem Gipfelpublikum heißt das: Website auf die aktuelle Version 7.1.3 bringen, Plugins aufräumen, Umzugspläne vertagen.

Quellen

Mehr Newshunger?

• Für 22 Euro gefunden: Wie eine KI die kritische WordPress-Lücke aufgespürt hat
• WordPress 7.1.2: Notfall-Patch bis zurück zu Version 4.7
• LatePoint mit über 100.000 Installationen: neue SQL-Lücke ohne Login
• Sicherheitslücke bei Bricksforge: Angreifer nutzen kritische Upload-Lücke ohne Login aus
• Ninja Forms mit über 500.000 Installationen: Angreifer verstecken Admin-Konten
• Backup-Plugins für WordPress im Vergleich