Lücken in WordPress-Plugins: Oktober 2026, was Sie prüfen sollten

Im Oktober 2026 erhielten drei WordPress-Plugins dringende Sicherheitskorrekturen, und eines davon wird seit dem 7. Oktober angegriffen. Dazu erschien am 28. Oktober WordPress 7.1.4, das einen Fehler im Update-Mechanismus selbst behebt. Läuft Ihre Firmenwebsite auf WordPress, nehmen Sie sich heute 15 Minuten dafür.

Ich beschreibe, was passiert ist, wie Sie ohne IT-Fachkraft prüfen, ob Ihre Website gefährdet ist, was Sie sofort tun sollten und was Sie dem Hosting oder dem Dienstleister der Website auftragen sollten. Stand: 30. Oktober 2026. Die Versionen mit Patches können sich noch ändern, sehen Sie daher vor dem Update auf der Website des Plugin-Herstellers nach.

Was passiert ist: drei Plugins, eines wird schon angegriffen

Plugins sind Erweiterungen, die WordPress Formulare, Buchungen oder schnelleres Laden geben. Jedes davon ist fremder Code, der auf Ihrem Server läuft. Unterläuft den Entwicklern ein Fehler, kann eine fremde Person ihn ausnutzen, oft ohne Anmeldung.

Bricksforge (CVE-2026-85097): seit dem 7. Oktober angegriffen

Bricksforge ist eine kostenpflichtige Erweiterung für den Website-Builder Bricks, die beim Hersteller gekauft wird und nicht im Verzeichnis von wordpress.org. Ein Fehler im Formularmodul Pro Forms erlaubte einer Person ohne Konto, eine Datei auf den Server hochzuladen und eigenen PHP-Code auszuführen, also in der Praxis die Website zu übernehmen. Die Firma Patchstack, die die Angriffe beschrieben hat, bewertete die Lücke mit 10 auf der CVSS-Skala von 0 bis 10, Wordfence, das ihr die CVE-Nummer zugewiesen hat, mit 9,8. In der Warnung von Patchstack lese ich, dass die ersten Angriffsversuche am 7. Oktober spätabends registriert wurden, von 63 verschiedenen IP-Adressen.

Patchstack nennt als Version mit dem Patch 3.1.8.10. Laut dem Änderungsprotokoll des Herstellers steckt der Patch auch in 4.0.0, Version 4.0.1 vom 8. Oktober behebt einen weiteren Fehler beim Hochladen von Dateien über Pro Forms, und 4.0.2 vom 13. Oktober bringt weitere Absicherungen, u. a. für den Ordner mit temporären Dateien der Formulare. Deshalb empfehle ich das Update auf 4.0.2 (die neueste Version am 30. Oktober) oder neuer.

LatePoint (CVE-2026-110653): Kundenkonten im Buchungssystem

LatePoint dient zur Buchung von Terminen und hat laut der Seite des Plugins auf wordpress.org über 100.000 aktive Installationen. In den Versionen bis 5.7.4 konnte eine Person, die die E-Mail-Adresse oder Telefonnummer eines Kunden oder einer Kundin kannte, das Limit für Versuche bei der Anmeldung mit einem Einmalcode umgehen und in dessen Konto gelangen: Buchungen und personenbezogene Daten einsehen. Der Patch steckt in Version 5.7.5 vom 16. Oktober. Version 5.7.6 vom 26. Oktober behebt einen weiteren, weniger gefährlichen Fehler, installieren Sie also am besten gleich die neueste. In der Datenbank von Patchstack gibt es bis zum 30. Oktober keine Informationen über Angriffe.

10Web Booster (CVE-2026-108587): Dateien hochladen ohne Anmeldung

10Web Booster beschleunigt die Website und komprimiert Bilder. Laut wordpress.org läuft es auf über 60.000 Websites. In den Versionen bis 2.34.10 konnte eine Person von außen unter bestimmten Bedingungen eine Datei auf den Server hochladen und Code ausführen. Beschreibungen der Lücke bringen sie mit einer angehaltenen Massenoptimierung von Bildern in Verbindung, gehen Sie aber nicht davon aus, dass Sie das nicht betrifft. Patch: Version 2.34.11. Patchstack hält Angriffe für wahrscheinlich, auch wenn sie bis zum 30. Oktober nicht bestätigt waren.

Wen es betrifft

• Websites mit einem dieser Plugins, auch wenn es deaktiviert ist. Ein deaktiviertes Plugin liegt weiterhin auf dem Server.
• Websites, die eine Agentur oder ein Freelancer erstellt hat und in deren Backend niemand hineinschaut. Bricksforge ist ein Werkzeug für Leute, die Websites in Bricks bauen, es installiert also meist der Dienstleister, und die Firmenleitung weiß womöglich nicht einmal, dass es da ist.
• Websites mit kostenpflichtigen Plugins nach Ablauf der Lizenz. Kostenpflichtige Erweiterungen außerhalb von wordpress.org aktualisieren sich meist nur mit aktivem Lizenzschlüssel. Ohne ihn zeigt das Backend womöglich gar nicht an, dass es eine neue Version gibt.

Läuft Ihre Website nicht auf WordPress, betrifft Sie dieser Ratgeber nicht. Sie wissen nicht, worauf sie läuft? Das erkläre ich im kommenden Ratgeber „So prüfen Sie die PHP-Version und worauf Ihre Website läuft“.

So prüfen Sie Ihre Website in 15 Minuten, ohne IT-Fachkraft

Sie brauchen ein Administratorkonto in WordPress. Die Namen der Menüpunkte gebe ich für das Backend auf Deutsch an.

1. Liste der Plugins. Öffnen Sie Plugins → Installierte Plugins. Bei jedem Plugin sehen Sie seine Version. Suchen Sie nach Bricksforge, LatePoint und 10Web Booster und vergleichen Sie die Version mit der Tabelle oben.
2. Ausstehende Updates. Unter Dashboard → Aktualisierungen sehen Sie die WordPress-Version und die Plugins, für die neuere Releases vorliegen. Wartet dort etwas seit Wochen, ist das ein Zeichen, dass sich niemand um die Website kümmert.
3. Automatische Updates. In der Plugin-Liste gibt es eine Spalte „Automatische Aktualisierungen“. Prüfen Sie, bei welchen Plugins sie aktiviert sind. Laut Dokumentation installiert WordPress sie zweimal täglich, aber nur, wenn sein Aufgabenplaner (WP-Cron) funktioniert. Probleme mit dem Planer zeigt Werkzeuge → Website-Zustand.
4. Administratorkonten. Öffnen Sie Benutzer → Alle Benutzer und klicken Sie auf den Filter „Administrator“. Jedes Konto, das Sie nicht kennen, ist ein Grund zur Sorge. Eine häufige Spur eines Einbruchs ist ein neuer Administrator mit einem technisch klingenden Namen, zum Beispiel „support“ oder „wpadmin“.
5. Sicherheitsscanner. Haben Sie ein Sicherheits-Plugin (z. B. Wordfence) oder einen Scanner im Hosting-Panel, starten Sie einen vollständigen Scan. Sie suchen nach geänderten WordPress-Dateien und nach PHP-Dateien im Bilderverzeichnis (wp-content/uploads). Dort sollten keine PHP-Dateien auftauchen.

Sind alle Plugins in sicheren Versionen, kennen Sie alle Administratoren und hat der Scanner nichts gefunden, können Sie aufatmen. Stimmt etwas nicht, gehen Sie zu den nächsten Abschnitten.

Was Sie heute tun sollten

• Legen Sie ein Backup der Dateien und der Datenbank an, am besten im Hosting-Panel oder mit einem Backup-Plugin. Bei einem Plugin, das seit einigen Wochen angegriffen wird, verschieben Sie das Update nicht auf „nach dem Wochenende“: Backup und Update sind eine Sache von Minuten.
• Aktualisieren Sie die Plugins aus der Tabelle. Bricksforge laden Sie aus Ihrem Konto beim Hersteller herunter oder aktualisieren es im Backend nach Eingabe des Lizenzschlüssels. Der Wechsel von Version 3.x auf 4.x ist eine große Änderung, senden Sie danach also über jedes Formular eine Testnachricht.
• Löschen Sie Plugins, die Sie nicht nutzen. Deaktivieren allein reicht nicht. Weniger Plugins bedeuten weniger Stellen, an denen eine Lücke auftauchen kann.
• Aktivieren Sie automatische Updates für einfache Plugins, wenn Sie ein tägliches Backup haben. Plugins für Buchungen, Zahlungen und Shop aktualisiere ich manuell, Sicherheitskorrekturen installiere ich aber innerhalb von ein oder zwei Tagen. Die Reihenfolge der Schritte und einen Notfallplan habe ich in der Anleitung WordPress sicher aktualisieren beschrieben.
• Ändern Sie die Administratorpasswörter und aktivieren Sie die Zwei-Faktor-Authentifizierung, wenn Bricksforge in der verwundbaren Version bei Ihnen nach dem 7. Oktober lief. Beauftragen Sie außerdem den unten beschriebenen Scan der Dateien, denn eine Passwortänderung allein entfernt keine Datei, die ein Eindringling eingeschleust hat.

Nebenbei: WordPress 7.1.4 vom 28. Oktober

Am 28. Oktober erschien WordPress 7.1.4, das 22 Lücken behebt. Die schwerwiegendste ist ein Fehler während des Core-Updates, der zur Ausführung fremden Codes auf dem Server führen konnte. Wordfence berichtet, dass Versuche, sie auszunutzen, schon wenige Stunden nach der Veröffentlichung des Patches auftauchten. Laut der Release-Beschreibung auf wordpress.org kamen die Korrekturen auch in ältere Zweige, z. B. 7.0.8 und 6.9.11, während WordPress 4.6 und älter keine Sicherheitspatches mehr erhält.

Prüfen Sie unter Dashboard → Aktualisierungen, welche Version Sie haben. Solche Korrekturen installieren sich meist von selbst, aber nur, wenn niemand die automatischen Core-Updates abgeschaltet hat.

Was Sie dem Hosting oder dem Dienstleister der Website auftragen sollten

Manches erfordert Zugang zum Server. Das sind Aufgaben für das Hosting oder die Person, die die Website betreut:

• Durchsicht der Server-Logs auf Anfragen an die Formulare von Bricksforge seit dem 7. Oktober (Patchstack nennt die Adresse /wp-json/bricksforge/v1/form_submit),
• Durchsuchen des Verzeichnisses wp-content/uploads nach PHP-Dateien, einschließlich des Ordners wp-content/uploads/bricksforge/tmp/ und Dateien, deren Namen mit login_admin_ beginnen,
• Sperren der PHP-Ausführung im Bilderverzeichnis, also eine einfache Serverregel, die viele Angriffe dieser Art erschwert,
• Aktivieren einer Web Application Firewall (WAF) mit Regeln für neue Lücken; die kostenlose Version von Wordfence erhält neue Regeln mit 30 Tagen Verzögerung (die Regel für die Lücke aus WordPress 7.1.4 bekommt sie am 27. November), bei laufenden Angriffen ist das Update also das Wichtigste,
• Bestätigung eines Backups außerhalb des Website-Servers und Angabe des Datums des letzten erfolgreichen Backups.

Eine Nachricht, die Sie kopieren können:

Guten Tag, im Oktober sind Sicherheitskorrekturen für die Plugins Bricksforge (CVE-2026-85097), LatePoint (CVE-2026-110653) und 10Web Booster (CVE-2026-108587) sowie WordPress 7.1.4 erschienen. Bitte prüfen Sie, ob unsere Website [Adresse] eines dieser Plugins hat und ob es aktualisiert ist, sehen Sie die Administratorkonten durch, scannen Sie die Dateien und teilen Sie mir mit, wann das letzte Backup erstellt wurde. Bitte bestätigen Sie mir kurz per E-Mail, was erledigt wurde.

Wenn Sie nicht wissen, wer bei Ihnen für Updates zuständig ist, gehe ich darauf im kommenden Ratgeber „Website-Updates: Wer ist zuständig, Hosting oder Dienstleister?“ ein.

Wenn Sie Spuren eines Einbruchs sehen

Ein unbekannter Administrator, PHP-Dateien im Bilderverzeichnis, seltsame Weiterleitungen oder eine Warnung in Google sind Zeichen, dass schon jemand auf Ihrer Website war. Dann reicht das Update allein nicht: Es schließt die Tür, wirft den Eindringling aber nicht hinaus. Den Plan für die erste Stunde habe ich im Ratgeber WordPress gehackt: Was tun beschrieben.

Gibt es auf der Website Kundenkonten, zum Beispiel in LatePoint, und könnte jemand Zugriff darauf gehabt haben, sprechen Sie mit der Person, die in der Firma für die DSGVO zuständig ist. Eine Verletzung des Schutzes personenbezogener Daten wird der UODO (der polnischen Datenschutzbehörde) unverzüglich und möglichst binnen 72 Stunden nach ihrer Feststellung gemeldet, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen (Art. 33 DSGVO). Das ist keine Rechtsberatung, sondern ein Hinweis, die Frist nicht zu verpassen.

Zusammenfassung

Im Oktober geriet ein Plugin unter Beschuss, zwei weitere erhielten dringende Patches. Prüfen Sie die Plugin-Liste, die Administratorkonten und die WordPress-Version, löschen Sie, was Sie nicht nutzen, und klären Sie, wer bei Ihnen für Updates zuständig ist.

Wenn Sie das lieber nicht selbst im Blick behalten, übernehme ich es im Rahmen der technischen Betreuung. Im Paket Wache (ab 149 PLN netto pro Monat) installiere ich dringende Sicherheitsupdates innerhalb von 2 Tagen und mache jede Woche ein Backup außerhalb des Servers, Standard (ab 349 PLN netto) bietet ein tägliches Backup und eine Reaktion innerhalb von 1 Werktag, Pro (ab 749 PLN netto) eine Reaktion innerhalb von 4 Stunden. Den Stand der Absicherung prüfe ich in einem Sicherheitsaudit (ab 990 PLN netto), und Server und Anwendung härte ich im Rahmen der Leistung Cybersicherheit für Ihr Projekt. Schreiben Sie mir, ich antworte innerhalb von 24 Stunden.