WP Triage: Ein Risiko-Score sortiert die dringendsten WordPress-Lücken zuerst

WP Triage vergibt jeder WordPress-Installation einen Risiko-Score von 0 bis 100 und stellt die gefährlichste Lücke nach oben. Das neue SaaS-Werkzeug zielt auf Agenturen, die zwischen 10 und 50 Kundenseiten betreuen und am Patch-Dienstag die Übersicht verlieren. Rund 8 Euro im Monat kostet die kleinste Stufe.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

WordPress-Sicherheit scheitert selten am fehlenden Scanner, sondern an der Frage, welche der 40 gemeldeten Lücken zuerst drankommt. Genau diese Reihenfolge liefert WP Triage. Der Dienst inventarisiert Core, Plugins, Themes und PHP-Version täglich und rechnet daraus eine einzige Zahl.^[1]

Das Wichtigste in Kürze

• Risiko-Score von 0 bis 100 je Seite, gewichtet nach bekannten Lücken, Ausnutzbarkeit, Alter der Software und Schweregrad.
• Tägliche Snapshots von Core, Plugins, Themes und PHP, abgeglichen gegen CVE-Datenbanken.
• 96 Prozent aller WordPress-Schwachstellen steckten 2024 laut Patchstack in Plugins.
• Preise ab rund 8 Euro im Monat für bis zu fünf Seiten. Wordfence und MainWP bleiben trotzdem nötig.

Was macht WP Triage anders als ein Malware-Scanner?

WP Triage scannt nicht nach Schadcode, sondern priorisiert bekannte Schwachstellen: Der Dienst gleicht jede installierte Version gegen CVE-Datenbanken ab und ordnet die Funde nach Dringlichkeit, statt eine ungefilterte Liste auszugeben.

Ein Malware-Scanner wie Wordfence meldet, was bereits eingedrungen ist. WP Triage arbeitet eine Stufe davor und zeigt, welche Tür noch offen steht. Der Dienst ist als Entscheidungshilfe neben Firewall und Verwaltungs-Dashboard gedacht, nicht als deren Ersatz.

Warum sind Plugins das größte WordPress-Risiko?

Plugins sind das Einfallstor Nummer eins: 96 Prozent aller 2024 gemeldeten WordPress-Schwachstellen steckten laut Patchstack in Plugins, nur 4 Prozent in Themes. Insgesamt zählte der Sicherheitsdienst 7.966 neue Lücken, rund 22 pro Tag.^[2]

43 Prozent dieser Lücken ließen sich sogar ohne Anmeldung ausnutzen, also aus der Ferne durch automatisierte Bots. 33 Prozent waren zum Zeitpunkt der Veröffentlichung noch nicht gepatcht. Der Score gewichtet genau das: Ein drei Monate altes Plugin mit aktiv ausgenutzter Lücke rangiert über einem frischen mit kosmetischem Fehler.

Dass auch der Kern regelmäßig nachziehen muss, zeigte zuletzt das Zwangsupdate auf WordPress 7.0.2.

Was kostet WP Triage und für wen lohnt sich der Score?

WP Triage kostet rund 8 Euro im Monat für bis zu fünf Seiten, rund 25 Euro für bis zu 25 und rund 43 Euro für bis zu 50 Seiten. Für Freelancer mit einer Handvoll Projekten rechnet sich der Score kaum, für Agenturen mit zweistelligem Portfolio schon.

Die Alternativen decken andere Ebenen ab. Patchstack legt sich mit über 12.000 Regeln als virtueller Patch vor die Lücke, Wordfence filtert den Angriffsverkehr, MainWP bündelt die Verwaltung vieler Installationen. WP Triage ergänzt diese Werkzeuge um die Priorisierung, überschneidet sich aber mit keinem vollständig.

Für deutsche Betreiber zählt dabei ein regulatorischer Punkt: Artikel 32 DSGVO verlangt Schutzmaßnahmen nach dem Stand der Technik. Eine seit Wochen bekannte, ungepatchte Plugin-Lücke lässt sich als solcher Stand kaum verteidigen. Ein sauberes Inventar samt Priorität ist damit weniger Komfort als Nachweis. Bei vielen gehosteten Kundenseiten liegt ein Teil der Absicherung ohnehin beim Hoster, was einen Blick in den WordPress-Hosting-Vergleich lohnt.

Quellen

[1] WP Triage: „Prioritize WordPress security across your portfolio“

[2] Patchstack: „State of WordPress Security in 2025“

Mehr Newshunger?

• WordPress 7.0.3 riegelt den Login-Screen wieder ab
• Sicherheitslücke: Warum Sie WordPress sofort auf 7.0.2 aktualisieren sollten
• Eine Signal-Nachricht in zwei Jahren: WP Engine beantragt Sanktionen gegen Automattic
• Kritischer CVE-Eintrag für eine halluzinierte SQLite-Lücke
• TeamCity-Lücke: Angreifer übernehmen den Build-Server ohne Zugangsdaten