Über 90 Prozent aller neuen WordPress-Lücken steckten 2025 in Plugins, kaum eine im Kern: Der Sicherheitsanbieter Patchstack zählte 11.334 neue Schwachstellen, 42 Prozent mehr als im Vorjahr.[2] Gegen diese Flut tritt WP Triage an, ein Onlinedienst, der alle betreuten Seiten täglich prüft, jeder Seite einen Risikowert gibt und die dringendste Lücke nach oben sortiert.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- WP Triage ist ein Onlinedienst mit einem schlanken WordPress-Plugin, der betreute Seiten täglich auf bekannte Sicherheitslücken prüft.
- Jede Website erhält einen Risikowert von 0 bis 100, dazu die drei dringendsten Probleme und eine empfohlene Reihenfolge fürs Patchen.
- Der Dienst blockiert nichts und scannt keine Malware, laut Anbieter versteht er sich als Ergänzung zu Wordfence oder MainWP.
- Die Preise beginnen bei rund 8 Euro im Monat für bis zu fünf Seiten, eine dauerhaft kostenlose Stufe fehlt.
Was macht WP Triage anders als ein Sicherheits-Plugin?
WP Triage trennt zwei Aufgaben, die viele für dieselbe halten. Ein schlankes Plugin, der Triage Agent, meldet von jeder Seite täglich die Versionen von Kern, Plugins, Themes und PHP an ein Cloud-Dashboard.[1] Dort gleicht eine Bewertungsmaschine diese Angaben mit bekannten Schwachstellen ab, vergibt je Seite einen Wert zwischen 0 und 100 und nennt die drei Punkte, die das Risiko am schnellsten senken.
Wordfence blockiert Angriffe an der Firewall, MainWP bündelt die Verwaltung vieler Seiten. WP Triage ist bewusst keins von beidem, sondern eine Entscheidungshilfe: Statt endloser Warnlisten zeigt der Dienst die nächste sinnvolle Handlung. Der Ansatz zielt auf ein reales Problem der WordPress-Sicherheit, denn bei 30 betreuten Kundenseiten geht die eine kritische Meldung leicht in der Flut der Updates unter.
Warum die Priorisierung das eigentliche Problem trifft?
Die Zahlen erklären, warum ein Triage-Ansatz überhaupt nötig ist. Nach dem Sicherheitsbericht von Patchstack entfielen 2025 rund 91 Prozent aller neuen WordPress-Schwachstellen auf Plugins und nur 9 Prozent auf Themes, der Kern spielt kaum eine Rolle.[2] Jede zusätzliche Erweiterung vergrößert die Angriffsfläche. Die Lücke des Tages sitzt fast immer in einem Plugin von Dritten.
Wie schnell aus einer Plugin-Lücke ein Massenproblem wird, zeigen die jüngsten Fälle: die Kirki-Schwachstelle mit CVSS 9,8 auf 150.000 Seiten oder ein Plugin, das ganze WordPress-Installationen verschenkte. Ein Dienst, der solche CVEs automatisch dem eigenen Bestand zuordnet, spart die manuelle Suche, ersetzt aber weder Updates noch Backup noch Firewall.
WordPress-Sicherheit in Zahlen
Ein Risikowert ist erst dann etwas wert, wenn danach jemand patcht. WP Triage nimmt Agenturen die Frage ab, wo sie anfangen, die Arbeit selbst bleibt ihre.
— Michael Dobler, Herausgeber Dr. Web
Für wen lohnt sich WP Triage in der DACH-Region?
Der Zuschnitt zielt auf Agenturen, Freelancer und WooCommerce-Betreiber mit vielen Seiten. Für sie ist Aktualität keine Kür: Artikel 32 DSGVO verlangt Sicherheit nach dem Stand der Technik; ein bekannter, ungepatchter Fehler lässt sich im Schadensfall schwer als sorgfältig verteidigen. Ein dokumentierter Patch-Verlauf hilft hier ebenso wie ein Hosting mit sauberem Sicherheitsunterbau.
Die Preise reichen von rund 8 Euro monatlich für fünf Seiten bis rund 43 Euro für fünfzig. Eine Gratis-Stufe fehlt, ein 30-Tage-Rückgaberecht federt den Test ab.[1] Zwei Punkte gehören auf die Rechnung: Das Plugin sendet täglich Bestandsdaten in eine Cloud, deren Betreiber Namen und Firmensitz offenlässt. Die Qualität der Priorisierung hängt zudem ganz an der nicht genannten Schwachstellen-Datenbank dahinter.
Quellen
[1] WP Triage: wptriage.app
[2] Patchstack: „State of WordPress Security in 2026“
