Statusbericht zur WordPress-Sicherheit

Heute hat das Wordfence Intelligence-Team den Statusbericht zum Thema WordPress-Sicherheit für das letzte Jahr veröffentlicht.

In dem englischsprachigen Bericht werden Veränderungen in der Bedrohungslandschaft betrachtet, Trends analysiert und Empfehlungen abgegeben. Es gibt interessante Erkenntnisse, darunter auch eine Reihe positiver Trends und Verbesserungen im Ökosystem.

das größte Problem

Die am weitesten verbreitete Bedrohung für die WordPress-Sicherheit im Jahr 2022 waren nicht oder schlecht gewartete Websites. Gleichzeitig waren die neuen WordPress-Versionen und die populären WordPress-Themes und -Plugins laut Wordfence so sicher wie nie.

Schwachstellen

Es wurden deutlich mehr Schwachstellen in WordPress offengelegt als in den früheren Jahren, was am Zustrom von neuen Security Researchern liegen soll. Allerdings soll es sich um weniger kritische Schwachstellen gehandelt haben, zudem sollen weniger Websites neu kompromittiert worden sein.

Bedrohungen

Credential-Stuffing-Angriffe, bei denen Login-Seiten mit Zugangsdaten „beschossen“ werden, sind nach wie vor ein Problem, auch wenn es laut Wordfence einen deutlichen Rückgang gegeben hat. Dafür wurde eine Zunahme anderer Angriffe festgestellt, insbesondere Versuche, auf vorhandene Backdoors zuzugreifen. Den größten Zuwachs gab es bei Versuchen, Informationen und Daten zu sammeln (installierte Plugins, Datenbank-Zugangsdaten etc.).

Schadsoftware

Die Gesamtinfektionsraten sollen relativ konstant gewesen sein. Im Vergleich zu 2020 um die Hälfte gesunken sind Infektionen aufgrund verseuchter (nicht legal erworbener) Plugins. Verdoppelt haben sich allerdings Infektionen aufgrund von nicht oder schlecht gewarteten Websites. Dazu zählt auch der Einsatz von Themes und Plugins, deren Weiterentwicklung eingestellt ist.

Empfehlungen

1. Wordfence empfiehlt eindringlich die Verwendung von Multifaktor-Authentifizierungen.
2. Infizierte Websites sollten unbedingt vollständig bereinigt werden. Ein erheblicher Teil des gesamten Angriffsverkehrs konzentriert sich darauf, Zugriff auf bereits infizierte Websites zu erhalten oder aufrechtzuerhalten, anstatt neue zu infizieren.
3. WordPress, Plugins und Themes sollten möglichst immer auf dem neuesten Stand sein.

Zum Beitrag und der PDF: wordfence.com/blog/2023/01/the-wordfence-2022-state-of-wordpress-security-report/

David Damjanovic

David Damjanovic betreibt seit 2004 eigene Websites, arbeitet seit 2006 mit WordPress und hat 2011 die WordPress Agentur wp-agentur gegründet, eine der ersten in D-A-CH.