Wenn Sie eine beliebige Agentur oder einen Sicherheitsforscher fragen, was die meisten WordPress-Sicherheitsvorfälle verursacht, erhalten Sie jedes Mal dieselbe Antwort. Plugins. Nicht der WordPress-Core, nicht der Server, nicht gestohlene Passwörter. Plugins. Der Grund ist einfach. Allein im offiziellen Verzeichnis gibt es fast 60.000 Plugins, dazu Tausende weitere privat verkaufte, und sie alle laufen mit vollem PHP-Zugriff auf Ihre Website. Wenn eines davon eine Sicherheitslücke hat und Sie es nicht aktualisieren, steht eine bekannte Tür auf Ihrem Server offen.
Dieser Artikel betrachtet, warum veraltete Plugins ein so konstantes Problem sind, wie Schwachstellen in der Praxis ausgenutzt werden und was Sie tun können, damit Ihre Website nicht Teil der Statistik des nächsten Monats wird.
Der Aufbau einer Plugin-Schwachstelle
Jedes Plugin, das Sie installieren, fügt Code hinzu, der als Teil Ihrer WordPress-Website läuft. Dieser Code kann Ihre Datenbank lesen, Dateien auf Ihren Server schreiben, E-Mails versenden, externe APIs aufrufen und Befehle ausführen. Wenn der Code gut geschrieben ist, tut er all das sicher. Wenn nicht, gibt er Angreifern Werkzeuge, die sie missbrauchen können.
Zu den häufigen Plugin-Lücken gehören der Datei-Upload ohne Authentifizierung, bei dem eine für angemeldete Administratoren gedachte Funktion für jeden im Internet erreichbar ist. SQL-Injection, bei der Benutzereingaben ohne korrektes Escaping in eine Datenbankabfrage eingefügt werden. Cross-Site-Scripting, bei dem vom Angreifer kontrollierter Inhalt als aktives HTML im Browser eines Administrators gerendert wird. Rechteausweitung, bei der ein Konto auf Abonnentenebene zum Administrator werden kann. Unsichere Deserialisierung, bei der von außen gesendete komplexe Datenstrukturen die Codeausführung auslösen.
Jede dieser Lücken kann einem Angreifer die Möglichkeit geben, Hintertüren zu installieren, schädliche Dateien abzulegen, betrügerische Administratorkonten anzulegen oder auf andere Websites desselben Hosts überzuspringen. Das Plugin muss nicht obskur sein. Einige der am häufigsten ausgenutzten Plugins der WordPress-Geschichte hatten zig Millionen Installationen.
Warum Offenlegung ein zweischneidiges Schwert ist
Die Sicherheitsgemeinschaft lebt von verantwortungsvoller Offenlegung. Ein Forscher findet eine Lücke, meldet sie privat dem Plugin-Autor, der Autor veröffentlicht eine gepatchte Version, und einige Tage oder Wochen später werden die Details in CVE-Hinweisen und Sicherheitsbulletins veröffentlicht. Das ist gesund. So verbessert sich das Ökosystem.
Der ungesunde Teil ist, was danach passiert. Automatisierte Scanner beobachten diese Hinweise genau. Innerhalb von Stunden nach einer öffentlichen Offenlegung durchkämmen Bots das öffentliche Web, identifizieren WordPress-Websites und gleichen sie mit der Liste verwundbarer Versionen ab. Wenn Ihre Website noch die ungepatchte Version ausführt, werden Sie gefunden, oft schon am ersten Tag.
Deshalb ist das Zeitfenster zwischen Offenlegung und Update auf Ihrer Website so wichtig. Eine wöchentliche Update-Routine erwischt die Dinge meist rechtzeitig. Eine vierteljährliche fast nie.
Das Plugin, das niemand mehr pflegt
Noch schlimmer als ein veraltetes Plugin ist ein aufgegebenes. Plugin-Autoren kommen und gehen, und nicht alle kündigen an, wann sie ihren Code nicht mehr pflegen. Ein Plugin, das seit zwei Jahren kein Update hatte, ist nicht sicherer, weil sich nichts geändert hat. Es ist gefährlicher, denn jede seither gefundene Schwachstelle wird nie gepatcht.
Das WordPress-Verzeichnis kennzeichnet inzwischen Plugins, die lange nicht aktualisiert wurden, ist aber zurückhaltend, sie ganz zu entfernen. Es liegt an Ihnen, das zu bemerken und zu migrieren. Eine monatliche Support-Routine sollte die Prüfung des letzten Aktualisierungsdatums jedes von Ihnen genutzten Plugins beinhalten.
Eine Fallstudie: Wie ein Dateimanager-Plugin eine Website in Sydney lahmlegte
Ein aktuelles Kundenaudit erzählte eine klare Geschichte. Die Website, betrieben von einer kleinen Agentur in Sydney, hatte ein Dateimanager-Plugin installiert, das Administratoren eine webbasierte Oberfläche zum Durchsuchen und Bearbeiten von Serverdateien bot. Praktisch, aber auch ein historisch bekanntes Ziel. Diese Plugin-Familie hatte im Lauf der Jahre mehrere kritische Schwachstellen zur Remote-Code-Ausführung veröffentlicht bekommen.
Das Plugin war nicht aktuell gehalten worden. Ein Angreifer nutzte eine bekannte Lücke aus, erlangte Schreibzugriff auf das Dokumentenstammverzeichnis und legte fünfzehn schädliche Dateien in Verzeichnissen ab, die die Namen echter WordPress-Seiten nachahmten. Das Ergebnis war ein SEO-Cloaking-Angriff, der Spam an den Googlebot auslieferte und das Suchmaschinen-Ranking der Domain verbrannte.
Die Bereinigung war teuer. Das verlorene SEO war noch teurer. Eine monatliche Update-Routine hätte das verwundbare Plugin erkannt und entweder zu einem sofortigen Patch oder zur vollständigen Entfernung des Plugins veranlasst. Die gesamte Behebung wäre eine Fünfzehn-Minuten-Arbeit während der routinemäßigen Wartung gewesen.
Warum Menschen Plugins nicht aktualisieren
Die Gründe, die Menschen für das Nicht-Aktualisieren von Plugins nennen, fallen in einige vertraute Muster. Es lohnt sich, sie zu kennen, denn jeder hat eine bessere Antwort.
Manche Betreiber befürchten, dass Updates die Website beschädigen. Die Antwort ist, zuerst im Staging zu testen, ein Backup zu machen und kontrolliert zu aktualisieren. Nicht, nie zu aktualisieren.
Manche Betreiber schauen sich ihre Website selten an. Die Antwort ist, E-Mail-Benachrichtigungen einzurichten, wenn Updates verfügbar sind, oder die Website in einen Support-Plan zu nehmen, bei dem jemand anderes nachsieht.
Manche Betreiber nutzen ein stark angepasstes Plugin und befürchten, dass ein Update ihre Änderungen überschreibt. Die Antwort ist, Plugin-Dateien niemals direkt zu bearbeiten. Nutzen Sie die Hooks und Filter des Plugins aus einem Child-Theme oder einem eigenen Plugin, damit Updates Ihre Anpassungen nicht mehr zerstören.
Manche Betreiber wissen nicht, dass das Plugin existiert. Sie haben die Website geerbt, oder ein Freelancer hat vor Jahren etwas installiert und es nie erwähnt. Die Antwort ist ein Audit. Öffnen Sie die Plugin-Seite und schauen Sie nach. Wenn Sie nicht wissen, was etwas tut, finden Sie es heraus oder entfernen Sie es.
Wie eine sichere Plugin-Update-Routine aussieht
Die Grundroutine ist auf jeder von uns betreuten Website gleich. Erstellen Sie ein vollständiges Backup, einschließlich Datenbank und Dateien. Spielen Sie Updates im Staging ein, wenn die Änderung riskant aussieht. Aktualisieren Sie Plugins in Stapeln, nicht alle auf einmal, damit Sie bei einem Fehler wissen, welches Plugin ihn verursacht hat. Testen Sie die Website danach kurz, indem Sie mindestens die Startseite, eine wichtige Landingpage, den Bezahlvorgang, falls vorhanden, und den Admin-Bereich aufrufen. Dokumentieren Sie jedes Plugin, das wiederholt Probleme verursacht, und erwägen Sie, es zu ersetzen.
Bei Premium-Plugins halten Sie die Lizenz aktiv. Eine abgelaufene Lizenz bedeutet keine Updates, keine Sicherheitspatches und keinen Support. Die jährliche Lizenzgebühr ist fast immer geringer als die Kosten einer einzigen Wiederherstellung nach einem Sicherheitsvorfall.
Die Zahl der genutzten Plugins reduzieren
Der am meisten unterschätzte Sicherheitsschritt ist schlicht, weniger Plugins zu haben. Jedes Plugin ist mehr Angriffsfläche. Jedes Plugin ist ein weiterer Anbieter, von dessen Update-Zeitplan Sie abhängen. Viele WordPress-Websites, die wir prüfen, haben 25 oder 30 aktive Plugins, und mindestens ein Drittel davon tut Dinge, die entweder nicht mehr genutzt werden oder zusammengelegt werden könnten.
Gehen Sie die Liste durch. Wenn Sie sich nicht erinnern, warum Sie etwas installiert haben, brauchen Sie es wahrscheinlich nicht. Wenn sich zwei Plugins in der Funktion überschneiden, fassen Sie sie zusammen. Der kleinste Plugin-Fußabdruck, der liefert, was Sie tatsächlich brauchen, ist der sicherste.
Die Zusammenfassung
Plugins sind der mächtigste und der gefährlichste Teil von WordPress. Sie geben Ihnen die Funktionen, die die Plattform attraktiv machen, und sie geben Angreifern die Türen, die WordPress-Websites zu einem so häufigen Ziel machen. Die Lösung ist nicht, Plugins zu meiden, sondern sie zu verwalten. Halten Sie sie aktuell. Halten Sie sie schlank. Bemerken Sie, wenn eines aufgegeben wird, und migrieren Sie weg davon. Behandeln Sie Ihre Plugin-Liste wie ein Budget, nicht wie eine Krimskramsschublade.
Brauchen Sie Unterstützung?
Wenn Defyn die Plugins Ihrer WordPress-Website prüfen und Ihnen sagen soll, welche gefährdet sind, welche entfernt werden können und welche ersetzt werden müssen, nehmen Sie Kontakt auf. Ein fokussiertes Plugin-Audit gehört zu den wirkungsvollsten Maßnahmen für die Sicherheit Ihrer Website.
