Die Fehlermeldung lautet:

PHP Fatal error: Uncaught TypeError: substr(): Argument #1 ($string) must be of type string, int given in …/wp-content/plugins/wp-rocket/inc/ThirdParty/Plugins/CDN/Cloudflare.php:562

Einzige Lösung – via FTP einloggen auf den Server und das WP-Rocket-Plugin deaktivieren.

UPDATE: 21.08.2026 – Version 3.23.2.2 mit Fix jetzt verfügbar

Der Beitrag Kritischer HTTP 500 Fehler in WP Rocket Plugin erschien zuerst auf Websicherheit Malware entfernen.

Zwei neu gepatchte WordPress-Schwachstellen werden schon in der Praxis aktiv ausgenutzt, wobei die Angriffe kurz nach ihrem Bekanntwerden begannen.

Die Schwachstellen wurden als WP2Shell bezeichnet und werden offiziell unter CVE-2026-60137 und CVE-2026-63030 geführt.

Laut Searchlight Cyber, dessen Forscher die Lücken entdeckt haben, sind WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1 betroffen. Searchlight haben auch ein gratis Tool namens wp2shell.com veröffentlicht, mit dem man überprüfen kann, ob die eigene WordPress-Website angreifbar ist.

„Der Angriff hat keine Voraussetzungen und kann von einem anonymen Benutzer in einer Standard-WordPress-Installation ohne Plugins ausgenutzt werden“, warnte das Sicherheitsunternehmen.

WordPress kündigte am Freitag Patches mit der Veröffentlichung der Versionen 6.9.5 und 7.0.2 an. Eine Korrektur ist auch in WordPress 7.1 Beta 2 enthalten.

WordPress 6.8 ist nur von der ersten Sicherheitslücke betroffen. Version 6.8.6 mit einer Fehlerbehebung wurde veröffentlicht. Versionen von WordPress vor 6.8 sind nicht betroffen.

Aufgrund des Schweregrads hat das WordPress.org-Team erzwungene Updates über das automatische Update-System für Websites aktiviert, auf denen betroffene Versionen laufen, teilten die WordPress-Entwickler mit.

Cloudflare hat ebenfalls Regeln eingeführt, um die Ausnutzung zu erkennen und Kunden zu schützen, deren Installationen nicht sofort gepatcht wurden.

CVE-2026-60137 ist eine SQL-Injection-Schwachstelle mit hohem Schweregrad, und CVE-2026-63030 ist eine kritische Schwachstelle zur Ausführung beliebigen Codes über das REST-API. Durch die Verkettung der beiden Lücken kann ein Angreifer eine nicht authentifizierte Remote-Code-Ausführung auf betroffenen WordPress-Websites erreichen. Bedrohungsakteure haben schon diese Schwachstellen ausgenutzt, um die Kontrolle über WordPress-Websites zu übernehmen.

Obwohl Searchlight Cyber keine Details veröffentlicht hat, um Missbrauch zu verhindern, wurden Proof-of-Concept-Exploits bereits von anderen öffentlich gemacht.

Die aktive Ausnutzung der WP2Shell-Schwachstellen wurde von mehreren Cybersicherheitsunternehmen bestätigt, darunter das WordPress-Sicherheitsunternehmen Patchstack.

Auch ich habe schon meinen ersten Opfern davon helfen können.

Website gehackt? Ich helfe dir.

Falls du den Verdacht hast, dass deine WordPress-Website bereits durch diese oder eine andere Sicherheitslücke kompromittiert wurde, stehe ich dir gerne zur Verfügung. Ich unterstütze dich bei der Analyse, Säuberung und Absicherung deiner Website – damit du wieder ruhig schlafen kannst.

Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner WordPress Website schnell und zuverlässig wieder her.

Der Beitrag WP2Shell WordPress-Core Schwachstellen werden aktiv ausgenutzt erschien zuerst auf Websicherheit Malware entfernen.

Am 3. Juni 2026 veröffentlichte der JCE-Entwickler die Versionen JCE Pro 2.9.99.5 sowie das passende JCE Free 2.9.99.5. Im Changelog findet sich ein einzelner Sicherheitshinweis – und es ist genau die Art, bei der man noch am selben Tag handeln sollte: Unzureichende Zugriffskontrollen ermöglichten es nicht authentifizierten Benutzern, Editor-Profile hochzuladen. Laut Entwickler konnte diese Schwachstelle ausgenutzt werden, um beliebige Dateien auf den Server zu laden – ein klassischer „arbitrary file upload“, der Angreifern im schlimmsten Fall vollständige Kontrolle über die betroffene Website verschaffen kann.

Am Montag, dem 8. Juni, folgte Version 2.9.99.6, die zusätzlich eine Härtungsfunktion bot. JCE Pro 2.9.99.6 ist die empfohlene Version für alle Joomla!-Websites.

Es war bereits das zweite JCE-Sicherheitsupdate innerhalb einer Woche. Das Release 2.9.99.4 vom 28. Mai schloss zwei Sicherheitslücken, die beide eine aktive Anmeldesitzung voraussetzten. Die neue Lücke hingegen nicht. Genau dieser Unterschied – authentifiziert vs. nicht authentifiziert – ist der Grund, warum dieses Update nicht „irgendwann diese Woche“ eingespielt werden sollte, sondern sofort.

Die Sicherheitslücke wird schon aktiv ausgenutzt, funktionierender Exploit-Code ist öffentlich und die Angriffe sind automatisiert.

Was ist zu tun?

Aktualisiere JCE auf allen betreuten Joomla-Websites umgehend auf Version 2.9.99.6 – egal ob Free oder Pro.

Version 2.9.99.6 benötigt PHP 7.4 und Joomla 3.10 oder höher. Für Websites, die diese Voraussetzungen noch nicht erfüllen, steht ein kostenloses Patch-Paket zur Verfügung, das die Sicherheitslücke in JCE 2.7.x, 2.8.x und 2.9.x behebt.

Prüfe anschließend die Serververzeichnisse auf unbekannte oder verdächtige Dateien, insbesondere in Upload-Ordnern wie /images, /media oder anderen öffentlich zugänglichen Verzeichnissen wie /tmp. Wurde deine Website bereits vor dem Update kompromittiert, reicht ein simples Update allein nicht aus – der Schadcode muss vollständig entfernt werden.

Website gehackt? Ich helfe dir.

Falls du den Verdacht hast, dass deine Joomla-Website bereits durch diese oder eine andere Sicherheitslücke kompromittiert wurde, stehe ich dir gerne zur Verfügung. Ich unterstütze dich bei der Analyse, Säuberung und Absicherung deiner Website – damit du wieder ruhig schlafen kannst.

Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner Website schnell und zuverlässig wieder her.

Der Beitrag JCE-Editor-Sicherheitslücke: Sofortiger Handlungsbedarf für alle Joomla-Websites erschien zuerst auf Websicherheit Malware entfernen.

In diesem Beitrag erklären wir, was PHP macht, warum Sie auf PHP 8 upgraden sollten und wie wir Ihnen dabei helfen können.

Was ist PHP und was leistet es für WordPress?

PHP ist eine Programmiersprache, die die Kernfunktionen Ihrer WordPress-Website antreibt. Stellen Sie es sich wie den Motor unter der Motorhaube eines Autos vor. Auch wenn Sie es nicht bei der Arbeit sehen, kümmert sich PHP um alle Vorgänge im Hintergrund, die Ihre Website interaktiv und dynamisch machen.

Wann immer jemand Ihre WordPress-Website besucht, hilft PHP dabei, Informationen aus Ihrer Datenbank abzurufen (wie Blogbeiträge oder Produktdetails) und auf dem Bildschirm anzuzeigen. PHP übernimmt auch Aufgaben wie:

• Die Verarbeitung von Formularübermittlungen (wie ein Kontaktformular oder ein WooCommerce-Bestellformular)
• Die Verwaltung von WordPress-Benutzeranmeldungen und -Konten
• Die Kommunikation mit Ihrem Server, um Ihre Inhalte, Bilder und mehr zu laden

Ohne PHP könnte Ihre WordPress-Website nicht als interaktive Website funktionieren. Es ist eine der wichtigsten Komponenten, die WordPress-Websites dynamisch, benutzerfreundlich und skalierbar machen.

Warum wird PHP aktualisiert?

Wie jede Software erhält PHP regelmäßige Updates von der Arbeitsgruppe hinter PHP.

Diese Updates zielen vor allem ab auf:

1. Sicherheit: Jede neue PHP-Version bringt Sicherheitspatches mit sich, um Ihre Website vor Schwachstellen zu schützen. Die Verwendung der neuesten Version stellt sicher, dass Ihre WordPress-Website vor den neuesten Bedrohungen geschützt ist.
2. Leistung: Jedes neue Release von PHP 8 bringt Leistungsverbesserungen mit sich, die Ihrer Website helfen, schneller zu laden, die Serverlast zu reduzieren und mehr Traffic zu bewältigen, ohne langsamer zu werden. Dies ist besonders wichtig für WooCommerce-Websites oder Websites mit hohem Traffic, da schnellere Ladezeiten zu besseren Benutzererfahrungen und höheren Konversionsraten führen.
3. Fehlerbehebungen: Updates für PHP enthalten oft Korrekturen für Fehler, die in früheren Versionen gefunden wurden. Diese Fehlerbehebungen können unerwartete Fehler verhindern und sicherstellen, dass Ihre Website reibungslos und ohne Unterbrechungen läuft.
4. Kompatibilität: Viele WordPress-Themes und -Plugins werden mit Blick auf die neueste PHP-Version entwickelt und getestet. Die Verwendung einer veralteten PHP-Version kann dazu führen, dass diese Themes oder Plugins fehlerhaft arbeiten, kaputtgehen oder schlecht funktionieren, was zu einer negativen Benutzererfahrung führt.
5. Zukunftssicherheit: Während sich WordPress weiterentwickelt, entwickeln sich auch die Technologien, die es unterstützen. Ihre PHP-Version auf dem neuesten Stand zu halten, stellt sicher, dass Ihre Website mit zukünftigen Updates kompatibel bleibt und reduziert das Risiko, später größere Upgrades durchführen zu müssen.

Wie Sie Ihre PHP-Version überprüfen

Um herauszufinden, welche PHP-Version Ihre WordPress-Website verwendet:

1. Melden Sie sich in Ihrem WordPress-Admin-Dashboard an.
2. Navigieren Sie zu Werkzeuge > Website-Zustand und klicken Sie auf den Tab Bericht.
3. Unter dem Abschnitt Server sehen Sie Ihre aktuelle PHP-Version.

Wenn die Version niedriger als PHP 8.2 ist, ist es Zeit für ein Upgrade!

Was passiert, wenn Sie nicht upgraden?

Auf einer alten PHP-Version zu bleiben, wird wahrscheinlich nicht sofort dazu führen, dass Ihre Website ausfällt oder gehackt wird, aber sie wird dann zu einer tickenden Zeitbombe, die jeden Tag kompromittiert werden könnte und solche Probleme verursachen kann wie:

• Sicherheitsrisiken: Ältere Versionen sind anfälliger für Angriffe, und sobald sie das EOL erreichen, werden keine weiteren Sicherheitspatches mehr bereitgestellt.
• Langsamere Leistung: Ihre Website läuft möglicherweise langsamer, was zu einer schlechten Benutzererfahrung, höheren Absprungraten und möglicherweise niedrigeren Suchmaschinen-Rankings führt.
• Defekte Funktionalität: Veraltete PHP-Versionen sind möglicherweise nicht mit neueren WordPress-Themes, -Plugins oder -Features kompatibel, wodurch Teile Ihrer Website kaputtgehen oder nicht richtig funktionieren.
• Erhöhte Kosten: Im Laufe der Zeit kann der Betrieb veralteter Software zu teureren Reparaturen, Wartungs- und Hosting-Kosten führen, da sich Probleme anhäufen und das Risiko eines Angriffs steigt.
  ! Aktuell (Dezember 2025) verlangen mehrere Hosting-Anbieter Zusatzgebühren unter dem Titel „PHP Extended Support“ für veraltete PHP-Versionen, z.B. easyname und Ionos

Wie wir helfen können

Wir sind spezialisiert auf WordPress-Entwicklung, WordPress-Wartung und Optimierung und verstehen die entscheidende Rolle, die PHP für die Leistung und Sicherheit Ihrer Website spielt.

Wir können:

• Ihre aktuelle PHP-Version überprüfen und potenzielle Risiken bewerten
• Ihr WordPress-Theme und Ihre Plugins auf Kompatibilität mit der neuesten PHP-Version testen
• Den Upgrade-Prozess (WordPress, Theme, Plugins, PHP) reibungslos durchführen und sicherstellen, dass es keine Ausfallzeiten für Ihre Website gibt
• Ihre Website nach dem Upgrade überwachen, um sicherzustellen, dass alles reibungslos läuft.

Kontaktieren Sie uns noch heute, um zu sehen, ob Ihre WordPress-Website ein PHP-Upgrade benötigt. Wir sorgen dafür, dass Ihre Website mit der neuesten Technologie optimal und sicher läuft.

Der Beitrag Warum Ihre WordPress-Website die neueste Version von PHP 8 verwenden sollte erschien zuerst auf Websicherheit Malware entfernen.

Warum WordPress-Websites gehackt werden

• Um Spam-E-Mails zu versenden
• Um sensible Informationen zu stehlen (Daten, Mailinglisten, gespeicherte Kreditkarten)
• Um Malware auf den Geräten der Nutzer zu installieren
• Um Nutzer auf andere Websites umzuleiten und dadurch Ihren Traffic zu stehlen

Best Practices für die WordPress-Sicherheit

1. Regelmäßige Backups und Überwachung

• Verwenden Sie die automatischen Backup-Funktionen Ihres Hosting-Anbieters
• Installieren Sie ein WordPress-Backup-Plugin wie UpdraftPlus für automatische Backups
• Stellen Sie sicher, dass Backups an mehreren Orten gespeichert werden
• Führen Sie regelmäßige Sicherheitsüberprüfungen durch

2. Halten Sie den WordPress-Core, Themes und Plugins auf dem neuesten Stand

Updates sind Ihre erste Verteidigungslinie gegen Sicherheitslücken. Hacker nutzen oft bekannte Schwachstellen in veralteter Software aus.

• Aktivieren Sie automatische Updates für den WordPress-Core
• Überprüfen und aktualisieren Sie regelmäßig Themes und Plugins
• Entfernen Sie nicht verwendete Themes und Plugins
• Laden Sie Themes und Plugins nur aus seriösen Quellen herunter

3. Stärken Sie die Authentifizierung und Benutzerrollenverwaltung

• Verwenden Sie einzigartige, starke Passwörter
• Vermeiden Sie den Standard-Benutzernamen „admin“
• Nutzen Sie Passwortmanager wie LastPass oder 1Password
• Weisen Sie nur minimale notwendige Berechtigungen zu
• Führen Sie regelmäßige Überprüfungen der Anmeldedaten durch und entfernen Sie Benutzer, die keinen Zugriff mehr benötigen

4. Sichern Sie die WordPress-Datenbank

• Ändern Sie das Standard-Datenbankpräfix
• Begrenzen Sie die Benutzerberechtigungen für die Datenbank
• Verwenden Sie starke Datenbankpasswörter
• Optimieren und bereinigen Sie die Datenbank regelmäßig

5. Begrenzen Sie Anmeldeversuche

• Verwenden Sie Plugins wie Limit Login Attempts oder WordFence
• Sperren Sie Anmeldungen nach mehreren fehlgeschlagenen Versuchen
• Implementieren Sie vorübergehende Sperren
• Richten Sie E-Mail-Benachrichtigungen für verdächtige Anmeldeaktivitäten ein

6. Sichern Sie offene Formulare

• Verwenden Sie Anti-Spam-Plugins wie WP Armour oder Google Captcha
• Deaktivieren Sie Kommentare, wenn sie nicht benötigt werden

7. Deaktivieren Sie die Dateibearbeitung

• Fügen Sie define('DISALLOW_FILE_EDIT', true); zu wp-config.php hinzu
• Verhindern Sie, dass Benutzer Theme- und Plugin-Dateien bearbeiten
• Fördern Sie sichere Dateiverwaltungspraktiken
• Stellen Sie sicher, dass Ihr Server SSL verwendet, um Daten zu verschlüsseln

Fazit

Wenn Ihr euch nicht selbst um alles kümmern wollt,
biete ich sehr preiswerte WordPress Wartung an.

Der Beitrag WordPress-Sicherheits­praktiken, die jeder Website-Besitzer kennen sollte erschien zuerst auf Websicherheit Malware entfernen.