crackthe.net
Von der Meldung zum Angriff: wie eine Lücke deine Seite erreicht
Die vier Stufen einer Sicherheitslücke, wie schnell Angriffe in WordPress-Software folgen und der Fall PHP2Shell Schritt für Schritt, mit den PHP-Versionen, die ihn beheben.
Das Wichtigste
- Eine Sicherheitslücke durchläuft vier Stufen: Jemand findet sie, der Entwickler behebt sie, sie wird bekannt, und Angreifer nutzen sie aus. Deine Seite ist gefährdet, sobald sie bekannt ist, bis du den Fix installierst.
- Für WordPress-Software hat Patchstack bei stark ausgenutzten Lücken etwa fünf Stunden von der Veröffentlichung bis zum ersten Angriff gemessen. Für 46 % der Lücken gab es bei der Veröffentlichung noch keinen Fix.
- Der Fall PHP2Shell zeigt die Stufen in PHP selbst: gemeldet am 11. August 2026, behoben und veröffentlicht am 21. Oktober 2026.
Die vier Stufen
- Gefunden: Eine Forscherin, ein Forscher oder ein Angreifer findet die Lücke.
- Gemeldet: Wer verantwortungsvoll handelt, meldet sie dem Entwickler vertraulich. Der bereitet einen Fix vor.
- Veröffentlicht: Der Fix erscheint zusammen mit einer Beschreibung der Lücke. Sie bekommt eine CVE-Nummer und einen Schweregrad von 0 bis 10 (CVSS).
- Ausgenutzt: Angreifer bauen aus der Beschreibung und oft aus dem Fix selbst einen Angriff. Dann suchen Bots nach Seiten, die den Fix noch nicht installiert haben.
Zwischen Stufe 3 und 4 bleibt oft wenig Zeit. Patchstack hat gemessen, dass stark ausgenutzte Lücken in WordPress-Software etwa fünf Stunden nach der Veröffentlichung zum ersten Mal angegriffen wurden, etwa die Hälfte der Lücken mit großer Wirkung innerhalb von 24 Stunden. Bei 46 % der Lücken kam Stufe 3 vor dem Fix: Der Entwickler hatte noch keinen, als die Lücke bekannt wurde.
PHP2Shell, Stufe für Stufe
PHP2Shell ist der Name zweier Lücken in PHP selbst, der Sprache, in der WordPress und viele andere Anwendungen laufen. Dieses Archiv hat den Fall verfolgt:
| Datum | Was geschah |
|---|---|
| 11. August 2026 | Die Lücken werden den PHP-Entwicklern gemeldet |
| 24. August 2026 | Wiz Research meldet unabhängig davon weitere Fehler |
| 18. September 2026 | OpenAI meldet weitere Angriffswege |
| 20. Oktober 2026 | Die CVE-Nummern werden vorab bekannt, mit dem falschen Wert 10,0 |
| 21. Oktober 2026 | PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 beheben die Lücken, die Einzelheiten werden veröffentlicht |
Die Entdecker haben mit diesen Lücken elf Anwendungen übernommen, darunter WordPress. Der Schweregrad liegt bei 9,8 von 10. Zwischen der ersten Meldung und dem Fix lagen zehn Wochen, und der Fix erschien am Tag der Veröffentlichung. Ein Hoster, der PHP noch am selben Tag aktualisierte, schloss die Lücke für seine Kunden am ersten Tag. Die Fallseite PHP2Shell nennt alle Versionen und was zu tun ist.
Wo du die Lücke verkürzen kannst
| Teil | Wie der Fix deine Seite erreicht |
|---|---|
| Plugins und Themes | automatische Updates, wenn du sie eingeschaltet hast |
| WordPress | automatische Sicherheitsupdates, von Haus aus an |
| PHP | dein Hoster installiert die neue Version |
| Eine Lücke ohne Fix | nur das Entfernen des Plugins oder eine Firewall-Regel schützt dich |
Was du tun kannst
- Schalte automatische Updates ein, für jedes Plugin und jedes Theme, damit Fixes innerhalb von Stunden ankommen.
- Kenne deine PHP-Version. Sie steht unter Werkzeuge › Website-Zustand › Bericht, im Abschnitt „Server“. Wird eine Lücke in PHP bekannt, vergleiche sie mit den behobenen Versionen.
- Frag deinen Hoster, wie schnell er PHP-Fixes installiert. Bei PHP2Shell erschienen die behobenen Versionen am Tag der Veröffentlichung.
- Setz eine Firewall vor deine Seite, die schnell neue Regeln bekommt. Sie kann dich schützen, solange es keinen Fix gibt.
- Entferne Plugins, die keine Updates mehr bekommen. Eine Lücke darin wird vielleicht nie behoben.
Nächster Schritt
Der Ratgeber WordPress-Updates: Kern, Plugins, Themes und PHP zeigt, welche Updates sich selbst installieren und welche PHP-Versionen noch Fixes bekommen.
Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 13. November 2026.
Mit den Daten des Archivs prüfen
Weiterlesen: Zero-Knowledge-Verschlüsselung erklärt: Warum niemand dein Passwort zurücksetzen kannAlle Ratgeber