Wordpress: aktuelle Sicherheitslücken Juli 2025

Wordpress: aktuelle Sicherheitslücken Juli 2025

Im Juli 2025 wurden mehrere kritische Sicherheitslücken in WordPress-Plugins und -Themes bekannt, die zahlreiche Websites betreffen können:

1. HT Contact Form Plugin (über 10.000 Websites betroffen)

• Schwachstellen: Dateien-Upload, -Löschung und -Verschiebung ohne Authentifizierung möglich (CVSS bis 9.8).
• Gefahr: Angreifer können beliebige Dateien – einschließlich PHP-Malware – hochladen oder kritische Dateien wie wp-config.php löschen. Das ermöglicht die komplette Übernahme der Website.
• Update: Patch am 13. Juli 2025 veröffentlicht → Update dringend empfohlen auf Version 2.2.2.

2. Post SMTP Plugin (über 400.000 Installationen)

• Schwachstelle: Fehlerhafte Zugriffsrechte (CVE-2025-24000): Jeder registrierte Nutzer kann E-Mail-Logs inkl. Passwort-Reset-Mails einsehen und so Admin-Konten übernehmen.
• Gefahr: Komplette Kontrolle über die WordPress-Seite möglich.
• Behebung: Patch mit Version 3.3.0 am 11. Juni 2025 → mindestens Version 3.3.0 einspielen.

3. Motors Theme

• Schwachstelle: Unzureichende Nutzer-Validierung ermöglicht Rechteausweitung (CVE-2025-4322).
• Gefahr: Angreifer können ohne Authentifizierung Admin-Passwörter ändern und vollen Zugriff erlangen.
• Lösung: Patch mit Version 5.6.68 (ab 12. Juni 2025). Admins sollten ggf. ungewöhnliche Aktivitäten und unbekannte Konten prüfen und Theme-Update ausführen.

4. Support-Ende für WordPress-Versionen 4.1 bis 4.6

• Seit Juli 2025 erhalten diese alten Core-Versionen keine Sicherheitsupdates mehr. Betreiber sollten unbedingt auf eine aktuelle Version updaten, um Schutz vor neuen Schwachstellen zu behalten.

5. Weitere kritische Schwachstellen (Auswahl, laut Vulnerability-Report Juli 2025)

• Support Board (Plugin): Beliebige Dateilöschung – Update auf Version 3.8.1 nötig.
• WP File Download: Cross Site Scripting (XSS) – Patch ab Version 6.2.6 verfügbar.
• Really Simple Security: Admin-Übernahme möglich – Update mindestens auf Version 9.1.2 erforderlich.

Handlungs-Empfehlungen für Juli 2025

• Plugins, Themes und das WordPress-Core sofort auf aktuelle Versionen bringen.
• Besonders bei beliebten Plugins wie HT Contact Form, Post SMTP, Support Board, Motors und Really Simple Security auf Changelogs und Sicherheitswarnungen achten.
• Nicht mehr unterstützte WordPress-Versionen (älter als 4.6) deinstallieren bzw. auf eine aktuelle Version migrieren.
• Regelmäßig Security-Scanner und Monitoring-Tools nutzen, um verdächtige Aktivitäten und unautorisierte Konten zu erkennen.

Aktuelle Bedrohungen betreffen vor allem Sicherheitslücken in weit verbreiteten Plugins. Betreiber sollten stets die neuesten Updates einspielen und sicherstellen, dass Plugins/Themes aus vertrauenswürdigen Quellen stammen, um den Schutz ihrer Seite sicherzustellen.