WordPress-Sicherheit ist wichtig!
🇺🇸 A massive supply chain attack just hit over 1.2 million WordPress websites, and the lessons are loud and clear: even deactivated plugins can leave you wide open. If you run a site (or host them for clients), this is your wake-up call to tighten up security before the next breach.
🔥 The attack targeted three popular marketing plugins — OptinMonster, TrustPulse, and PushEngage. Hackers didn’t hit the plugins directly. They compromised external scripts these plugins loaded. When an admin logged in, the malicious code got full administrator access.
🛡️ Attackers weren’t just messing around — they installed hidden backdoors for long-term control:
- Heimtückische Administratorkonten (wie Developer_api1 oder wpsecurebot)
- Aus dem Dashboard ausgeblendete Malware
- SEO-Spam, gefälschte Browser-Updates und sogar Krypto-Miner
Das Wichtigste zum Mitnehmen: Das Löschen oder Deaktivieren eines Plugins reicht nicht aus. Wenn es jemals installiert wurde, scannen Sie es gründlich.
So überprüfen und bereinigen Sie Ihre WordPress-Site
- Überprüfen Sie Administratorkonten – Vertrauen Sie nicht nur der Benutzerseite. Überprüfen Sie die Datenbanktabelle „wp_users“ (oder verwenden Sie WP-CLI) auf unbekannte Administratoren.
- Plugin-Ordner prüfen – Suchen Sie in wp-content/plugins/ und wp-content/mu-plugins/ nach Verdächtigen.
- Alles ändern – Setzen Sie alle Administratorkennwörter zurück, generieren Sie Salts neu, aktualisieren Sie Datenbankkennwörter und rotieren Sie API-Schlüssel.
Intelligente Sicherheitspraktiken für die Zukunft
- Nicht verwendete Plugins und Themes vollständig löschen – Deaktiviert ≠ sicher.
- Verwenden Sie ein solides Aktivitätsprotokoll-Plugin (wie WP Activity Log), um Änderungen zu überwachen.
- Fügen Sie Zwei-Faktor-Authentifizierung und Brute-Force-Schutz hinzu.
- Halten Sie alles auf dem neuesten Stand und führen Sie regelmäßige Malware-Scans durch.
🇺🇸 America-first take: In a digital world full of threats, real security comes from ownership and vigilance — not trusting third-party scripts or “set it and forget it” plugins. Self-hosted WordPress on reliable hosting (with server-level protections) gives you the control you need to protect your business and data.
Hosting-Anbieter wie HostRite fügen zusätzliche Ebenen hinzu (Isolierung des Jail-Hosts, tägliche Backups, Blockierung auf Serverebene), aber der Websitebesitzer muss trotzdem seinen Teil dazu beitragen.
Was denkt ihr alle? Sind Sie von so etwas betroffen oder haben Sie wichtige Sicherheitstipps für WordPress-Benutzer? Teilen Sie es unten!
