Für WordPress ist ein Sicherheitsupdate erschienen, das mehrere Schwachstellen behebt. Über eine davon lässt sich Schadcode auf den Server einschleusen. Laut heise Security werden bereits Versuche beobachtet, diese Lücke auszunutzen. Betroffen ist jede Website, auf der das Update noch nicht installiert ist.
Warum das viele Firmenwebsites betrifft
WordPress ist das verbreitetste System für Firmenwebsites, auch bei Handwerkern, Praxen und Kanzleien. Viele dieser Seiten wurden einmal eingerichtet und laufen seitdem ohne regelmäßige Pflege. Gerade solche Installationen sind für automatisierte Angriffe interessant: Die Werkzeuge durchsuchen das Netz nach veralteten Versionen und probieren bekannte Lücken der Reihe nach aus.
Wer Schadcode einschleusen kann, hat im ungünstigen Fall die Kontrolle über die Website. Dann lassen sich Inhalte verändern, Besucher auf fremde Seiten umleiten oder Formulardaten abgreifen. Für den Betrieb bedeutet das Ärger mit Kunden, mögliche Warnhinweise in Suchmaschinen und Aufwand für die Bereinigung.
Was Sie jetzt prüfen sollten
Kleinere Sicherheitsupdates spielt WordPress in der Standardeinstellung automatisch ein. Ob das bei Ihrer Seite tatsächlich passiert, hängt davon ab, wie sie eingerichtet wurde und ob der Hoster eingreift. Im Verwaltungsbereich sehen Sie die installierte Version und ob Aktualisierungen ausstehen.
- WordPress-Version im Dashboard ansehen
- Vorher eine aktuelle Sicherung anlegen
- Ausstehende Updates für Kern, Plugins und Themes einspielen
- Liste der Admin-Konten auf Unbekannte prüfen
- Festlegen, wer künftig für Updates zuständig ist
Wenn Sie selbst nicht an die Website gehen, fragen Sie Ihre Agentur oder Ihren Dienstleister, ob das Update eingespielt ist. Plugins verdienen dabei dieselbe Aufmerksamkeit wie der Kern, denn auch dort tauchen regelmäßig Lücken auf.
Ob Ihre Website auf dem aktuellen Stand ist und wo sie sonst Schwachstellen hat, können Sie mit dem Website-Check einordnen lassen.