Sicherheitslücke

Eine Sicherheitslücke ist ein Fehler in Software oder Hardware, über den Angreifer etwas tun können, das so nicht vorgesehen ist, etwa Daten auslesen oder fremden Code ausführen. Geschlossen wird sie mit einem Patch, also einem Update des Herstellers. Auf einer Website betrifft das WordPress, Plugins, Themes, PHP und den Server.

Kurz zusammengefasst:

• Die Lücke ist der Fehler, der Exploit die Methode, ihn auszunutzen.
• Eine CVE-Nummer gibt einer öffentlich bekannten Lücke eine eindeutige Kennung.
• CVSS bewertet den Schweregrad von 0 bis 10, nicht dein Risiko.
• Zero-Day heißt: Angreifer nutzen die Lücke, bevor der Hersteller davon weiß.
• Bei WordPress stecken die meisten gemeldeten Lücken in Plugins.

Lücke, Exploit und Patch

Stell dir eine Tür vor, deren Schloss sich mit einem Trick öffnen lässt. Der Konstruktionsfehler ist die Lücke. Der Trick ist der Exploit, laut BSI eine Methode oder ein Code, der ungewollte Befehle oder Funktionen ausführt. Das neue Schloss ist der Patch: ein Update, das die Lücke schließt.

Eine Lücke allein richtet noch keinen Schaden an. Gefährlich wird sie, wenn jemand sie findet und deine Website die betroffene Version noch nutzt. Was danach auf dem Server landen kann, etwa Malware oder eine Backdoor, sind eigene Begriffe.

CVE und CVSS: Nummer und Schweregrad

CVE steht für Common Vulnerabilities and Exposures. Das Programm erfasst öffentlich bekannte Schwachstellen und gibt jeder eine Kennung aus Jahr und laufender Nummer, zum Beispiel CVE-2026-109618, eine der beiden PHP2Shell-Lücken vom Oktober 2026. Vergeben werden die Nummern von sogenannten CVE Numbering Authorities. So reden Hersteller, Hoster und Dienstleister nachweislich über denselben Fehler.

Der Schweregrad kommt meist als CVSS-Wert dazu. So teilt die Spezifikation CVSS 4.0 die Skala ein:

Der Wert vergleicht Lücken untereinander. Wie viele Kunden betroffen wären oder welcher Schaden deinem Ruf droht, liegt laut Spezifikation außerhalb von CVSS. Das musst du selbst einschätzen. Ein Shop mit Kundendaten hat bei gleichem Wert mehr zu verlieren als eine Visitenkarten-Website.

Zero-Day und bereits gepatchte Lücken

Eine Zero-Day-Lücke nutzen Angreifer aus, bevor Entwickler oder Hersteller von ihr wissen. So beschreibt es das Glossar des BSI. Ein Update kann dich in diesem Moment nicht schützen, weil es noch keines gibt.

Der häufigere Fall im Alltag sieht anders aus: Der Patch ist da, wurde aber nicht eingespielt. Die WordPress-Dokumentation nennt den Grund, warum das heikel ist. Sobald eine Lücke veröffentlicht ist, sind die nötigen Informationen oft öffentlich, und alte Versionen werden leichter angreifbar. Die US-Behörde CISA führt dazu einen eigenen Katalog von Lücken, die nachweislich aktiv ausgenutzt werden.

Was das für deinen Betrieb und deine Website heißt

Patchstack zählt für 2025 im WordPress-Umfeld 11.334 neue Schwachstellen, davon 91 % in Plugins und 9 % in Themes, im WordPress-Kern nur 6. Bei 46 % gab es zum Zeitpunkt der Bekanntgabe noch keine Korrektur des Entwicklers. Jedes Plugin ist also auch eine Risikoquelle, die jemand im Blick haben muss.

Für einen Handwerksbetrieb heißt das: Updates gehören in einen festen Ablauf, vorab mit einem Backup. Nicht genutzte Plugins kommen weg, das rät auch die WordPress-Dokumentation. Für den Entscheider ist es eine Frage der Zuständigkeit: Wer sieht eine neue Warnung, wer spielt das Update ein, und wer prüft danach das Kontaktformular? Wer das nicht intern klären kann, gibt es in eine WordPress Wartung.

Häufige Fragen

Woher weiß ich, ob meine Website betroffen ist?

Vergleiche die installierte Version von Plugin, Theme oder PHP mit der Angabe in der Sicherheitsmeldung des Herstellers. Bei Hostern hilft manchmal nur die Nachfrage beim Support, ob der Patch für die genannte CVE-Nummer eingespielt ist.

Ist eine Lücke mit hohem CVSS-Wert immer dringend?

Meist ja, aber der Wert allein entscheidet nicht. Wichtig ist auch, ob du die betroffene Funktion überhaupt nutzt und ob die Lücke bereits aktiv ausgenutzt wird.

Reicht eine Firewall gegen Sicherheitslücken?

Nein. Eine Firewall kann bekannte Angriffsmuster abfangen, die Lücke bleibt aber bestehen, bis der Patch eingespielt ist.

Was tue ich, wenn es für ein Plugin keinen Patch gibt?

Deaktiviere das Plugin, wenn die Website ohne es auskommt, und suche Ersatz. Ist es unverzichtbar, frag den Hersteller nach dem Stand und lass die Einstellungen prüfen, bis eine Korrektur da ist.

Bin ich mit dem aktuellen WordPress sicher?

Nicht automatisch. Der WordPress-Kern ist nur ein Teil, dazu kommen Plugins, Theme, PHP und Server. Für PHP gilt wie für alle Software: Läuft der Support einer Version aus, gibt es für neue Lücken keine offizielle Korrektur mehr.

Weißt du, wer bei euch auf Sicherheitsmeldungen schaut?

Wenn das niemand so genau sagen kann, sehen wir uns gemeinsam an, was auf deiner Website läuft und wie aktuell es ist.