TeamUpdraft, das Unternehmen hinter dem Backup-Plugin UpdraftPlus und dem Verwaltungsdienst UpdraftCentral, hat einen unbefugten Zugriff auf seine Website am Wochenende des 17./18. Oktober 2026 gemeldet. Das Unternehmen geht davon aus, dass die Angreifer auf die Kundendatenbank zugegriffen haben – mit Namen, E-Mail- und Rechnungsadressen, Bestellhistorie, Passwort-Hashes, Einstellungen zur Zwei-Faktor-Authentifizierung sowie Verbindungsschlüsseln für UpdraftCentral, UpdraftVault und UpdraftClone.

Wie funktioniert der Angriff?

Laut Wordfence nutzten die Angreifer gültige UpdraftCentral-Verbindungsschlüssel, um Fernbefehle an verbundene WordPress-Seiten zu senden. Damit konnten sie bösartige Plugins hochladen, aktivieren und löschen. Die Befehle werden mit den Rechten jenes WordPress-Benutzers ausgeführt, der die Verbindung ursprünglich eingerichtet hat. Da sie gültig signiert waren, wurden sie von den Seiten als legitim akzeptiert – auch auf Installationen, die gegen eine frühere UpdraftPlus-Schwachstelle bereits gepatcht waren. Der Hoster Levamo spricht von über 100 betroffenen Seiten.

Wer ist betroffen?

Der UpdraftCentral-Client ist sowohl in UpdraftPlus Free als auch Premium enthalten, nimmt aber keine Befehle an, solange auf der Seite kein Verbindungsschlüssel existiert. Im Fokus stehen Seiten, die mit dem cloudbasierten UpdraftCentral-Dienst von TeamUpdraft verbunden sind. Achtung: Ein Schlüssel kann auch unbemerkt entstanden sein – UpdraftPlus 1.26.11 bietet beim Verbinden eines TeamUpdraft-Kontos an, die Seite zu UpdraftCentral hinzuzufügen, und diese Option ist standardmäßig aktiviert. Plugin-Downloads und selbst gehostetes UpdraftCentral sind laut TeamUpdraft nicht betroffen.

Was jetzt zu tun ist

1. Schlüssel prüfen und löschen: Unter Einstellungen > UpdraftPlus > Erweiterte Werkzeuge > UpdraftCentral alle vorhandenen Verbindungsschlüssel löschen.
2. Aktualisieren: TeamUpdraft nennt UpdraftPlus 1.26.13 (Free) und 2.26.13 (Premium) als Versionen, die ältere UpdraftCentral-Verbindungen trennen. Wichtig: Laut Nethemba entfernt 1.26.13 keine Schlüssel, die am 18. Oktober zwischen 12:07 und 21:00 UTC erstellt wurden – diese müssen manuell gelöscht werden.
3. Seite kontrollieren: WordPress Admin  kontrollieren auf unbekannte Benutzer und Plugins und alle Administrator-Passwörter ändern.
4. Wiederherstellung: Im Ernstfall nur aus einem Backup wiederherstellen, das vor dem 17. Oktober 2026 erstellt wurde.

Zusätzlicher Schutz
Patchstack und Wordfence blockieren UpdraftCentral-Befehle inzwischen für ihre Kunden; die Notfall-Firewallregel von Wordfence steht auch Nutzern der Gratisversion zur Verfügung.

Mehr Information: https://teamupdraft.com/blog/security-incident-october-2026/

Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner WordPress Website schnell und zuverlässig wieder her.

Der Beitrag Sicherheitswarnung: Gestohlene UpdraftCentral-Schlüssel für Angriffe auf WordPress-Seiten genutzt erschien zuerst auf Websicherheit Malware entfernen.

Die Fehlermeldung lautet:

PHP Fatal error: Uncaught TypeError: substr(): Argument #1 ($string) must be of type string, int given in …/wp-content/plugins/wp-rocket/inc/ThirdParty/Plugins/CDN/Cloudflare.php:562

Einzige Lösung – via FTP einloggen auf den Server und das WP-Rocket-Plugin deaktivieren.

UPDATE: 21.08.2026 – Version 3.23.2.2 mit Fix jetzt verfügbar

Der Beitrag Kritischer HTTP 500 Fehler in WP Rocket Plugin erschien zuerst auf Websicherheit Malware entfernen.

Zwei neu gepatchte WordPress-Schwachstellen werden schon in der Praxis aktiv ausgenutzt, wobei die Angriffe kurz nach ihrem Bekanntwerden begannen.

Die Schwachstellen wurden als WP2Shell bezeichnet und werden offiziell unter CVE-2026-60137 und CVE-2026-63030 geführt.

Laut Searchlight Cyber, dessen Forscher die Lücken entdeckt haben, sind WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1 betroffen. Searchlight haben auch ein gratis Tool namens wp2shell.com veröffentlicht, mit dem man überprüfen kann, ob die eigene WordPress-Website angreifbar ist.

„Der Angriff hat keine Voraussetzungen und kann von einem anonymen Benutzer in einer Standard-WordPress-Installation ohne Plugins ausgenutzt werden“, warnte das Sicherheitsunternehmen.

WordPress kündigte am Freitag Patches mit der Veröffentlichung der Versionen 6.9.5 und 7.0.2 an. Eine Korrektur ist auch in WordPress 7.1 Beta 2 enthalten.

WordPress 6.8 ist nur von der ersten Sicherheitslücke betroffen. Version 6.8.6 mit einer Fehlerbehebung wurde veröffentlicht. Versionen von WordPress vor 6.8 sind nicht betroffen.

Aufgrund des Schweregrads hat das WordPress.org-Team erzwungene Updates über das automatische Update-System für Websites aktiviert, auf denen betroffene Versionen laufen, teilten die WordPress-Entwickler mit.

Cloudflare hat ebenfalls Regeln eingeführt, um die Ausnutzung zu erkennen und Kunden zu schützen, deren Installationen nicht sofort gepatcht wurden.

CVE-2026-60137 ist eine SQL-Injection-Schwachstelle mit hohem Schweregrad, und CVE-2026-63030 ist eine kritische Schwachstelle zur Ausführung beliebigen Codes über das REST-API. Durch die Verkettung der beiden Lücken kann ein Angreifer eine nicht authentifizierte Remote-Code-Ausführung auf betroffenen WordPress-Websites erreichen. Bedrohungsakteure haben schon diese Schwachstellen ausgenutzt, um die Kontrolle über WordPress-Websites zu übernehmen.

Obwohl Searchlight Cyber keine Details veröffentlicht hat, um Missbrauch zu verhindern, wurden Proof-of-Concept-Exploits bereits von anderen öffentlich gemacht.

Die aktive Ausnutzung der WP2Shell-Schwachstellen wurde von mehreren Cybersicherheitsunternehmen bestätigt, darunter das WordPress-Sicherheitsunternehmen Patchstack.

Auch ich habe schon meinen ersten Opfern davon helfen können.

Website gehackt? Ich helfe dir.

Falls du den Verdacht hast, dass deine WordPress-Website bereits durch diese oder eine andere Sicherheitslücke kompromittiert wurde, stehe ich dir gerne zur Verfügung. Ich unterstütze dich bei der Analyse, Säuberung und Absicherung deiner Website – damit du wieder ruhig schlafen kannst.

Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner WordPress Website schnell und zuverlässig wieder her.

Der Beitrag WP2Shell WordPress-Core Schwachstellen werden aktiv ausgenutzt erschien zuerst auf Websicherheit Malware entfernen.

Am 3. Juni 2026 veröffentlichte der JCE-Entwickler die Versionen JCE Pro 2.9.99.5 sowie das passende JCE Free 2.9.99.5. Im Changelog findet sich ein einzelner Sicherheitshinweis – und es ist genau die Art, bei der man noch am selben Tag handeln sollte: Unzureichende Zugriffskontrollen ermöglichten es nicht authentifizierten Benutzern, Editor-Profile hochzuladen. Laut Entwickler konnte diese Schwachstelle ausgenutzt werden, um beliebige Dateien auf den Server zu laden – ein klassischer „arbitrary file upload“, der Angreifern im schlimmsten Fall vollständige Kontrolle über die betroffene Website verschaffen kann.

Am Montag, dem 8. Juni, folgte Version 2.9.99.6, die zusätzlich eine Härtungsfunktion bot. JCE Pro 2.9.99.6 ist die empfohlene Version für alle Joomla!-Websites.

Es war bereits das zweite JCE-Sicherheitsupdate innerhalb einer Woche. Das Release 2.9.99.4 vom 28. Mai schloss zwei Sicherheitslücken, die beide eine aktive Anmeldesitzung voraussetzten. Die neue Lücke hingegen nicht. Genau dieser Unterschied – authentifiziert vs. nicht authentifiziert – ist der Grund, warum dieses Update nicht „irgendwann diese Woche“ eingespielt werden sollte, sondern sofort.

Die Sicherheitslücke wird schon aktiv ausgenutzt, funktionierender Exploit-Code ist öffentlich und die Angriffe sind automatisiert.

Was ist zu tun?

Aktualisiere JCE auf allen betreuten Joomla-Websites umgehend auf Version 2.9.99.6 – egal ob Free oder Pro.

Version 2.9.99.6 benötigt PHP 7.4 und Joomla 3.10 oder höher. Für Websites, die diese Voraussetzungen noch nicht erfüllen, steht ein kostenloses Patch-Paket zur Verfügung, das die Sicherheitslücke in JCE 2.7.x, 2.8.x und 2.9.x behebt.

Prüfe anschließend die Serververzeichnisse auf unbekannte oder verdächtige Dateien, insbesondere in Upload-Ordnern wie /images, /media oder anderen öffentlich zugänglichen Verzeichnissen wie /tmp. Wurde deine Website bereits vor dem Update kompromittiert, reicht ein simples Update allein nicht aus – der Schadcode muss vollständig entfernt werden.

Website gehackt? Ich helfe dir.

Falls du den Verdacht hast, dass deine Joomla-Website bereits durch diese oder eine andere Sicherheitslücke kompromittiert wurde, stehe ich dir gerne zur Verfügung. Ich unterstütze dich bei der Analyse, Säuberung und Absicherung deiner Website – damit du wieder ruhig schlafen kannst.

Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner Website schnell und zuverlässig wieder her.

Der Beitrag JCE-Editor-Sicherheitslücke: Sofortiger Handlungsbedarf für alle Joomla-Websites erschien zuerst auf Websicherheit Malware entfernen.

Wenn der Fehler nicht behoben wird, könnte er es einem Angreifer ermöglichen, unbefugten Administratorzugriff auf betroffene Stores zu erhalten, sagte das Unternehmen in einem Advisory vom 23. März 2023. Er betrifft die Versionen 4.8.0 bis 5.6.1.

Die Entdeckung und Meldung der Schwachstelle wird Michael Mazzolini vom Schweizer Unternehmen für Penetrationstests GoldNetwork zugeschrieben.

Automattic – das Unternehmen hinter WordPress und WooCommerce – veröffentlicht automatische / erzwungene Updates aller Websites, die dieses Plugin verwenden.

Neben der Aktualisierung auf die neueste Version wird Benutzern empfohlen, nach neu hinzugefügten Administratorbenutzern zu suchen und in diesem Fall alle Administratorkennwörter zu ändern und Zahlungsgateway- und WooCommerce-API-Schlüssel zu rotieren.

Der Beitrag Kritischer Fehler im WooCommerce Payments Plugin betrifft mehr als 500.000 WordPress-Sites erschien zuerst auf Websicherheit Malware entfernen.