WordPress-Plugin-Schwachstellen prüfen: WP-CLI, WPScan, Datenbanken

Dieser Artikel ist eine lokalisierte Fassung des japanischen Originals. Japanisches Original lesen

Bei Plugin-Schwachstellen kann zwischen der Veröffentlichung und dem Beginn der Angriffe nur wenig Zeit vergehen. Grundlegend ist, regelmäßig diesen Ablauf zu durchlaufen: die installierten Plugins samt Version erfassen, mit bekannten Schwachstellen abgleichen und bei vorhandener korrigierter Version aktualisieren. Dieser Artikel erklärt nacheinander die Prüfung der Versionen mit WP-CLI, den Abgleich mit WPScan, das Lesen von Schwachstellendatenbanken, die Prüfung auf Manipulationen und das Vorgehen bei Funden. Befehle und Preisbedingungen entsprechen dem Stand der jeweiligen offiziellen Dokumentation im November 2026.

1. Installierte Plugins und Versionen auflisten

Verschaffen Sie sich zunächst einen Überblick, was in welcher Version installiert ist. Sie können das auch im Admin-Bereich unter „Plugins → Installierte Plugins“ (Plugins → Installed Plugins) sehen, mit WP-CLI lässt sich die Liste jedoch speichern.

# Name, Version, aktiv/inaktiv und Update-Verfügbarkeit anzeigen
wp plugin list --fields=name,version,status,update

# Nur Plugins mit verfügbarem Update anzeigen
wp plugin list --update=available

# Zur Dokumentation als JSON speichern
wp plugin list --fields=name,version,status --format=json > plugins.json

Auch deaktivierte Plugins erscheinen in der Liste. Selbst wenn sie deaktiviert sind, bleiben die Dateien auf dem Server, und auf Dateien mit Schwachstellen kann mitunter direkt zugegriffen werden. Löschen Sie daher alles, was Sie nicht verwenden. Die Grundlagen von WP-CLI erklärt „Plugins mit WP-CLI verwalten“.

2. Mit WPScan bekannte Schwachstellen abgleichen

WPScan ist ein Kommandozeilenwerkzeug, das WordPress-Websites von außen untersucht. Die Informationen zu Schwachstellen bezieht es über die WPScan-API. Legen Sie dazu auf wpscan.com ein Konto an und erstellen Sie ein API-Token.

Laut der WPScan-Preisseite ist der kostenlose Tarif auf nicht kommerzielle Nutzung beschränkt, und die API darf pro Tag 25-mal aufgerufen werden. Für geschäftlich genutzte Websites ist eine kostenpflichtige Lizenz nötig. Ohne API-Token läuft das Werkzeug zwar, zeigt dann aber keine Schwachstelleninformationen an.

# Installation (über Ruby gem)
gem install wpscan

# Bei Verwendung von Docker
docker pull wpscanteam/wpscan

# Plugins mit gemeldeten Schwachstellen suchen
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp

# Die Erkennungsmethode auf passive und aggressive stellen
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp --plugins-detection mixed

Die wichtigsten Werte für -e sind:

Die Erkennung von Plugins erfolgt standardmäßig passiv, d. h. anhand des HTML der Seite und Ähnlichem. Plugins, die im HTML keine Spuren hinterlassen, werden unter Umständen nicht gefunden. Mit aggressive oder mixed werden mehr erkannt, aber auch die Zahl der Anfragen steigt.

Mit WPScan dürfen Sie nur Websites untersuchen, die Sie selbst verwalten oder für die Sie eine Erlaubnis haben. Weitere Details finden Sie auch unter „Mit WPScan Schwachstellen Ihrer Website prüfen“.

3. Den Inhalt in einer Schwachstellendatenbank prüfen

Bei Plugins, die in WPScan-Ergebnissen oder in Sicherheitsnachrichten genannt werden, prüfen Sie die Details in den folgenden Datenbanken.

• WPScan Vulnerability Database (wpscan.com)
• Wordfence Intelligence (wordfence.com)
• Patchstack Database (patchstack.com)
• NVD (nvd.nist.gov, Suche per CVE-Nummer)

Folgende Angaben sollten Sie ansehen:

Kümmern Sie sich zuerst um Schwachstellen, die sich ohne Login ausnutzen lassen, und um solche mit hohem Schweregrad. Schwachstellen, die mit der Berechtigung eines Abonnenten ausnutzbar sind, haben bei Websites mit Benutzerregistrierung (Mitgliederseiten, Shops usw.) Dringlichkeit.

4. Prüfen, ob Dateien manipuliert wurden

Wenn eine Schwachstelle möglicherweise ausgenutzt wurde, prüfen Sie, ob die Dateien noch dem ausgelieferten Zustand entsprechen. verify-checksums von WP-CLI vergleicht die Dateien mit den von WordPress.org veröffentlichten Prüfsummen.

# Alle Plugins prüfen
wp plugin verify-checksums --all

# Nur ein bestimmtes Plugin prüfen
wp plugin verify-checksums contact-form-7

# Dateien des WordPress-Kerns prüfen
wp core verify-checksums

Gibt es keine Probleme, erscheint eine Meldung wie Success: Verified 8 of 8 plugins.. Bei hinzugefügten oder abweichenden Dateien wird die Liste dieser Dateien angezeigt.

Kostenpflichtige Plugins, die nicht über WordPress.org verteilt werden, haben keine Prüfsummen und lassen sich so nicht prüfen. Laden Sie in diesem Fall dieselbe Version vom Anbieter herunter und vergleichen Sie die Dateien.

5. Vorgehen bei einer gefundenen Schwachstelle

# Wenn es eine korrigierte Version gibt: aktualisieren
wp plugin update contact-form-7

# Wenn es keine korrigierte Version gibt: deaktivieren und bei Nichtgebrauch löschen
wp plugin deactivate vulnerable-plugin
wp plugin delete vulnerable-plugin

# Vor dem gesammelten Update prüfen, was aktualisiert würde
wp plugin update --all --dry-run

vulnerable-plugin ist ein Beispiel. Ersetzen Sie es durch den tatsächlichen Slug (die Spalte name in wp plugin list).

• Legen Sie vor dem Update eine Sicherung an und prüfen Sie danach, dass die wichtigsten Bereiche (Kontaktformular, Bezahlvorgang usw.) funktionieren.
• Bei Plugins, für die keine korrigierte Version erscheint und deren Entwicklung eingestellt ist, sollten Sie einen Wechsel zu einem anderen Plugin mit gleicher Funktion erwägen. Wird ein Plugin bei WordPress.org nicht mehr verteilt, erscheint auf der Seite des Plugins ein entsprechender Hinweis.
• Gibt es Anzeichen für eine Manipulation, genügt ein Update nicht. Prüfen Sie auch hinzugefügte Administratorkonten, in uploads abgelegte PHP-Dateien und Änderungen an wp-config.php und stellen Sie bei Bedarf aus der Sicherung wieder her.

6. Die Prüfung zur Gewohnheit machen

• Im Admin-Bereich unter „Plugins“ können Sie automatische Updates pro Plugin aktivieren (ab WordPress 5.5). Beginnen Sie mit Plugins, bei denen kaum zu befürchten ist, dass ein Update die Darstellung zerstört. Mehr dazu unter „Automatische Plugin-Updates einrichten“.
• Wenn Sie WPScan regelmäßig per Cron ausführen, beachten Sie das kostenlose Kontingent von 25 Aufrufen pro Tag und die Bedingung der nicht kommerziellen Nutzung.
• Auch das Sicherheits-Plugin Wordfence weist beim Scan unter anderem auf Plugins hin, die aktualisiert werden müssen. Die Verwendung erklärt „Die Website mit Wordfence scannen“.

Fazit

Die Prüfung auf Plugin-Schwachstellen läuft in dieser Reihenfolge: Liste erstellen (wp plugin list), mit bekannten Schwachstellen abgleichen (WPScan oder Schwachstellendatenbanken), auf Manipulationen prüfen (wp plugin verify-checksums), durch Update oder Löschen reagieren. Nicht genutzte Plugins zu löschen ist die Maßnahme mit dem geringsten Aufwand.

Fragen zu WordPress? Der Betreiber dieser Seite sitzt in Japan und antwortet auf Japanisch. Kontakt (Japanisch)