Bei den meisten gehackten WordPress-Seiten verschaffen sich Angreifer über eine bekannte Sicherheitslücke in einem veralteten Plugin Zugang. Das cPanel WP Toolkit (WordPress Management) gleicht daher kontinuierlich die auf Ihrer Website laufende WordPress-Version, Plugins und Themes mit den Schwachstellen-Datenbanken ab und meldet, falls eines davon betroffen ist. In unseren cPanel-Hosting- und WordPress-Hosting-Paketen ist dieses WP Toolkit Deluxe enthalten. Das Video zeigt einen realen Fall: die Meldung einer Sicherheitslücke im alten Contact Form 7-Plugin und deren Behebung durch ein Update.

Video: Sebezhető bővítmény frissítése a WP Toolkit Biztonsági állapot ablakában (stumme Bildschirmaufnahme mit ungarischen Untertiteln)

Wo finde ich die Meldung?

In der Liste des WP Toolkits erscheint in jeder Zeile einer Website das Label „Security Risk“ zusammen mit der Risikobewertung der Website auf einer Skala von 0 bis 10. Bei einem grünen Wert von 0,0 liegen keine schwerwiegenden bekannten Schwachstellen vor; steigt der Wert und ändert sich die Farbe des Labels, ist eine der Komponenten betroffen. Einige seit Langem bekannte, geringfügige Probleme im WordPress-Kern sind auch in nicht gepatchten WordPress-Versionen enthalten; diese erhöhen die Punktzahl nicht.

Klicken Sie auf das Stichwort „Sicherheitsrisiko“ (oder auf den Link „Risiken durch Sicherheitslücken reduzieren“ auf der Detailseite der Website): Das Fenster „Sicherheitsstatus“ wird geöffnet.

Liste der Sicherheitslücken

Auf der Registerkarte „Vulnerable Components“ werden die gefundenen Sicherheitslücken nach Komponenten (Plugins, Themes, WordPress-Kern) gruppiert angezeigt. In jeder Zeile:

• Schweregrad: von „sehr schwerwiegend“ (CRIT) über „hoch“ (HOCH) bis hin zu „gering“ (GERING);
• Beschreibung: Um welche Art von Fehler handelt es sich (z. B. unbefugtes Hochladen von Dateien oder XSS) und welche Versionen sind davon betroffen?
• Die korrigierte Version: Die Zahl hinter „Fixed in“ gibt an, in welcher Version der Fehler behoben wurde; wenn Ihr Plugin neuer ist, sind Sie von diesem Fehler nicht betroffen;
• Die CVE-Kennung, mit der Sie im Internet weitere Details nachschlagen können.

Das WP Toolkit listet nur aktive Plugins und Themes auf: Ein deaktiviertes, aber auf dem Hosting verbleibendes altes Plugin wird in der Liste nicht angezeigt, seine Dateien sind jedoch weiterhin vorhanden. Deaktivieren Sie daher nicht genutzte Plugins nicht nur, sondern löschen Sie diese auch.

Was sollten Sie tun?

Auf der rechten Seite der Komponentenzeile schlägt das WP Toolkit mögliche Lösungen vor:

1. Aktualisierung (Update auf …): die beste Lösung. Klicken Sie darauf und anschließend bei der Bestätigungsabfrage auf die Schaltfläche „Aktualisieren“. Nach der Aktualisierung wird die Risikobewertung neu berechnet, und das gepatchte Plugin verschwindet aus der Liste. Über die Schaltfläche „Install 1 update“ (oder eine ähnliche Schaltfläche bei mehreren Aktualisierungen) im Fenster „Sicherheitsstatus“ werden alle verfügbaren Aktualisierungen installiert.
2. Deaktivieren (Plugin deaktivieren): Sollte ein Update aus irgendeinem Grund nicht möglich sein (beispielsweise weil die korrigierte Version noch nicht veröffentlicht wurde oder das Update die Website beeinträchtigen würde), deaktivieren Sie das Plugin, bis eine Lösung vorliegt. Wird das Plugin nicht mehr weiterentwickelt, suchen Sie sich ein alternatives Plugin.
3. Schutz aktivieren: Die virtuellen Patches von WP Guardian schützen das anfällige Plugin durch Firewall-Regeln, bis Sie es aktualisieren. Hierbei handelt es sich um eine separat erwerbbare Lizenz, die nicht Bestandteil des Hosting-Pakets ist; das Problem lässt sich auch durch eine Aktualisierung oder durch Deaktivierung des Plugins beheben.

Erstellen Sie vor einem Update ein Backup; bei einem Online-Shop empfiehlt es sich, größere Versionssprünge zunächst auf einer Staging-Website zu testen. Die Schaltfläche „Intelligentes Update“ im WP Toolkit führt dies automatisch durch: Das Update wird zunächst auf einer Kopie der Website getestet.

Falls die Sicherheitslücke bereits seit Tagen oder Wochen besteht, überprüfen Sie bitte auch, ob sich Malware auf dem Webhosting-Server eingenistet hat; die erforderlichen Maßnahmen sind im Artikel zur Malware-Beseitigung mit ImunifyAV beschrieben.

Vorbeugung: Automatische Sicherheitsupdates

Wenn Sie auf der Detailseite der Website auf den Link „Einstellungen für automatische Updates“ klicken, können Sie festlegen, wie das WP Toolkit mit anfälligen Plugins und Themes umgehen soll. Im Abschnitt „Automatische Updates für Plugins“:

• Individuell festgelegt: Jedes Plugin folgt seinen eigenen Einstellungen.
• Die Konfiguration erfolgt individuell, die Installation von Sicherheitsupdates erfolgt jedoch automatisch: Über weitere Updates der Plugins entscheiden Sie weiterhin selbst; sollte jedoch ein Plugin anfällig sein und eine korrigierte Version vorliegen, aktualisiert das WP Toolkit dieses automatisch. Für die meisten Websites empfehlen wir diese Vorgehensweise.
• Erzwungen: Alle Updates für alle Plugins werden automatisch installiert.

Bei den beiden letztgenannten Optionen können Sie auch die Option „Anstelle einer Aktualisierung die gefährdeten Plugins deaktivieren“ auswählen: In diesem Fall deaktiviert das WP Toolkit das anfällige Plugin. Dies ist sicherer, jedoch kann die Deaktivierung eines wichtigen Plugins auch die Funktionsweise Ihrer Website beeinträchtigen. Speichern Sie die Einstellung mit der Schaltfläche „Speichern“.

Weitere Informationen zur Konfiguration von Updates finden Sie im Artikel über automatische Updates, Informationen zur Verwaltung von Plugins hingegen im Artikel über die Plugin-Verwaltung mit dem WP Toolkit.