Warum WordPress-Seiten so oft angegriffen werden
WordPress selbst ist gut gepflegt. Das Problem sind die Erweiterungen: Allein 2025 wurden im WordPress-Umfeld 11.334 neue Sicherheitslücken gefunden, 91 % davon in Plugins. Fast die Hälfte hatte noch keinen Patch, als sie öffentlich wurde, und schwere Lücken werden im Mittel schon fünf Stunden später massenhaft ausgenutzt.1 Wer seine Seite nicht täglich pflegt, ist fast zwangsläufig irgendwann verwundbar.
PHP2Shell: Wenn das Problem unter WordPress liegt
Am 21. Oktober 2026 hat das PHP-Team zwei kritische Lücken geschlossen (CVE-2026-109618 und CVE-2026-109619, je 9,2 von 10 Punkten). Sie erlauben es, ohne Login eigenen Code auf dem Server auszuführen, egal ob darauf WordPress, Joomla oder etwas anderes läuft. Sicher sind nur PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 oder neuer.2 Für PHP 7.4 bis 8.1 gibt es nur Korrekturen im Quellcode, aber keine fertigen Releases, noch ältere Versionen bleiben offen. Linux-Distributionen spielen Fixes oft in ältere Versionsnummern ein, deshalb ist die Nummer allein kein Beweis.3
Was der Check prüft
- PHP-Version: Verrät dein Server sie, vergleichen wir sie mit den PHP2Shell-Fixes.
- Sichtbare Plugins und WordPress-Version: Was im Quelltext steht, kann jeder Angreifer automatisch mit Lückendatenbanken abgleichen.
- xmlrpc.php: Eine alte Schnittstelle, über die oft massenhaft Passwörter durchprobiert werden.
- Benutzerliste der REST-API: Sind Benutzernamen abrufbar, fehlt Angreifern nur noch das Passwort.
- HTTPS und Sicherheits-Header: HSTS, Content-Security-Policy und Co. erschweren viele Angriffe im Browser.
Was der Check nicht kann
Ein Check von außen sieht nur, was offen herumliegt. Ob ein Plugin wirklich eine ausnutzbare Lücke hat, ob Passwörter stark sind oder ob der Server intern sauber konfiguriert ist, lässt sich so nicht feststellen. Nimm das Ergebnis als Hinweis, nicht als Gutachten.
Die Alternative: eine Website ohne Angriffsfläche
Die meisten Firmen-, Praxis- und Vereinsseiten brauchen kein PHP, keine Datenbank und keine Plugins. getmind baut deine bestehende WordPress-Seite 1:1 als statische Website neu: gleiche Inhalte, gleiche Adressen, ohne Updates. Änderungen sagst du einfach der KI. Mehr zu PHP2Shell im Artikel PHP2Shell: Was die PHP-Lücke für deine WordPress-Seite bedeutet.
Häufige Fragen
Ist der WordPress-Sicherheitscheck kostenlos?
Ja, ohne Anmeldung. Damit niemand den Dienst missbraucht, sind sechs Prüfungen je zehn Minuten pro Besucher möglich.
Greift ihr meine Website an?
Nein. Wir rufen nur die Startseite und vier öffentliche WordPress-Adressen auf (xmlrpc.php, wp-login.php, die REST-API für Benutzer und readme.html), genau wie ein normaler Besucher. Es gibt keine Login-Versuche und keine Exploits.
Kann der Check sagen, ob meine Seite von PHP2Shell betroffen ist?
Nur, wenn dein Server seine PHP-Version im Header verrät. Dann vergleichen wir sie mit den gefixten Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Weil Linux-Distributionen Fixes oft zurückportieren, ist das ein Hinweis, kein Beweis. Laut Censys verbergen rund 54 % der PHP-Server ihre Version ganz. Verbirgt der Server die Version, frag deinen Hoster, ob PHP seit dem 21. Oktober 2026 aktualisiert wurde.
Mein Ergebnis ist grün. Ist meine Seite sicher?
Nicht unbedingt. Grün heißt nur, dass von außen nichts Auffälliges sichtbar ist. Veraltete Plugins ohne sichtbare Versionsnummer, schwache Passwörter oder Lücken im Server sieht kein externer Check.
Speichert ihr die geprüfte Adresse?
Nein. Der Dienst führt kein Protokoll mit Adressen oder Ergebnissen, nur anonyme Zähler (wie viele Prüfungen, wie viele mit WordPress).
Was kann ich tun, wenn der Check Probleme findet?
Halte WordPress, Plugins und PHP aktuell, entferne ungenutzte Plugins, sperre xmlrpc.php und die Benutzerliste der REST-API und setze Sicherheits-Header. Oder du ziehst mit getmind um: Wir bauen deine Seite 1:1 als statische Website ohne PHP, Datenbank und Plugins neu.