Die letzten Sicherheitsberichte von Wordfence waren mit 501 (vorletzte Woche) und dann gar 655 (letzte Woche) gemeldeten Lücken rekordverdächtig. Da stellt sich einem schon die Frage: werden Plugins immer unsicherer? Das ist nicht so einfach zu beantworten, wie die Statistik einen mutmaßen lässt.
Auffällig ist allerdings, dass in letzter Zeit immer mehr Pro-Plugin-Angebote von Supply Chain Attacken betroffen sind. Rank Math Pro und Updraftplus Pro sind aktuell betroffen.
In der letzten Woche habe ich verschiedene Erhebungen veranlasst, um die Zahlen ins Verhältnis zur Anzahl auf WordPress.org verfügbarer Plugins zu setzen. Tatsächlich ist die Gesamttendenz eindeutig: es wurden nicht nur immer mehr Sicherheitslücken gemeldet, sondern auch das Verhältnis von Sicherheitslücken bezogen auf die Anzahl gelisteter Plugins stieg signifikant an. Per heute sind es (hochgerechnet auf das ganze Jahr 2026) voraussichtlich ca. 154 Sicherheitslücken pro 1000 Plugins im ganzen Jahr.
Dass seit 2021 so viel mehr Schwachstellen in Plugins und Themes veröffentlicht werden, liegt allerdings auch an den neuen Bedingungen, vor denen Sicherheitslücken überhaupt entdeckt und bekannt werden: 2021 wurden WPScan, Wordfence und Patchstack zu CVE Numbering Authorities und können CVE-IDs seither selbst vergeben. Patchstack (2021) und Wordfence (Ende 2023) starteten zudem Bug-Bounty-Programme, die Hunderte Forscher für die Aufdeckung von Sicherheitsmängeln bezahlen. Allein Wordfence schüttete 2024 über 450.000 US-Dollar aus. Patchstack zählte 2022 noch 4.528 neue Einträge, 2025 schon 11.334. Inzwischen treibt auch KI die Zahlen hoch: Laut Wordfence nutzen rund zwei Drittel der eingereichten Reports KI-Unterstützung. Patchstack klagt gleichzeitig über eine Flut von „AI slop“-Meldungen, die geprüft werden müssen und oft keine echte Gefahr darstellen.
24,3 pro 1.000 in Okt. 2026 (bis 20 Okt., hochgerechnet)
Daten als Tabelle
← wischen →
| Monat | Sicherheitslücken | Betroffene Plugins | Nicht behoben | Ohne Auth | Critical/High | ≥10.000 Installs | Verzeichnis | Lücken/1k | Plugins/1k | Ungepatcht/1k | Ohne Auth/1k | Crit/High/1k | Populär/1k | Lücken / betroffen | Betroffen % |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Jan. 2024 | 395 | 316 | 71 | 188 | 68 | 171 | 61.066 | 6,47 | 5,17 | 1,16 | 3,08 | 1,11 | 2,80 | 1,25 | 0,52 |
| Feb. 2024 | 420 | 310 | 65 | 202 | 59 | 197 | 61.232 | 6,86 | 5,06 | 1,06 | 3,30 | 0,96 | 3,22 | 1,35 | 0,51 |
| März 2024 | 773 | 554 | 90 | 285 | 124 | 326 | 60.969 | 12,68 | 9,09 | 1,48 | 4,67 | 2,03 | 5,35 | 1,40 | 0,91 |
| Apr. 2024 | 1.011 | 765 | 150 | 448 | 143 | 393 | 61.142 | 16,54 | 12,51 | 2,45 | 7,33 | 2,34 | 6,43 | 1,32 | 1,25 |
| Mai 2024 | 600 | 440 | 95 | 173 | 109 | 266 | 61.373 | 9,78 | 7,17 | 1,55 | 2,82 | 1,78 | 4,33 | 1,36 | 0,72 |
| Juni 2024 | 639 | 513 | 90 | 233 | 110 | 242 | 61.463 | 10,40 | 8,35 | 1,46 | 3,79 | 1,79 | 3,94 | 1,25 | 0,83 |
| Juli 2024 | 552 | 444 | 73 | 218 | 124 | 178 | 61.070 | 9,04 | 7,27 | 1,20 | 3,57 | 2,03 | 2,91 | 1,24 | 0,73 |
| Aug. 2024 | 574 | 441 | 88 | 259 | 126 | 220 | 61.297 | 9,36 | 7,19 | 1,44 | 4,23 | 2,06 | 3,59 | 1,30 | 0,72 |
| Sep. 2024 | 467 | 392 | 71 | 205 | 102 | 164 | 61.528 | 7,59 | 6,37 | 1,15 | 3,33 | 1,66 | 2,67 | 1,19 | 0,64 |
| Okt. 2024 | 800 | 711 | 328 | 322 | 194 | 172 | 60.943 | 13,13 | 11,67 | 5,38 | 5,28 | 3,18 | 2,82 | 1,13 | 1,17 |
| Nov. 2024 | 896 | 834 | 411 | 395 | 165 | 144 | 60.835 | 14,73 | 13,71 | 6,76 | 6,49 | 2,71 | 2,37 | 1,07 | 1,37 |
| Dez. 2024 | 879 | 785 | 291 | 446 | 161 | 114 | 60.846 | 14,45 | 12,90 | 4,78 | 7,33 | 2,65 | 1,87 | 1,12 | 1,29 |
| Jan. 2025 | 1.598 | 1.416 | 853 | 912 | 186 | 172 | 60.990 | 26,20 | 23,22 | 13,99 | 14,95 | 3,05 | 2,82 | 1,13 | 2,32 |
| Feb. 2025 | 826 | 730 | 347 | 447 | 168 | 129 | 61.100 | 13,52 | 11,95 | 5,68 | 7,32 | 2,75 | 2,11 | 1,13 | 1,19 |
| März 2025 | 958 | 819 | 401 | 466 | 175 | 195 | 61.236 | 15,64 | 13,37 | 6,55 | 7,61 | 2,86 | 3,18 | 1,17 | 1,34 |
| Apr. 2025 | 1.277 | 1.086 | 584 | 667 | 238 | 174 | 60.912 | 20,96 | 17,83 | 9,59 | 10,95 | 3,91 | 2,86 | 1,18 | 1,78 |
| Mai 2025 | 610 | 523 | 167 | 267 | 158 | 105 | 61.304 | 9,95 | 8,53 | 2,72 | 4,36 | 2,58 | 1,71 | 1,17 | 0,85 |
| Juni 2025 | 708 | 645 | 316 | 319 | 117 | 112 | 61.582 | 11,50 | 10,47 | 5,13 | 5,18 | 1,90 | 1,82 | 1,10 | 1,05 |
| Juli 2025 | 553 | 473 | 178 | 293 | 182 | 101 | 61.693 | 8,96 | 7,67 | 2,89 | 4,75 | 2,95 | 1,64 | 1,17 | 0,77 |
| Aug. 2025 | 537 | 489 | 204 | 242 | 134 | 94 | 62.060 | 8,65 | 7,88 | 3,29 | 3,90 | 2,16 | 1,51 | 1,10 | 0,79 |
| Sep. 2025 | 874 | 803 | 363 | 290 | 96 | 149 | 62.122 | 14,07 | 12,93 | 5,84 | 4,67 | 1,55 | 2,40 | 1,09 | 1,29 |
| Okt. 2025 | 579 | 505 | 179 | 230 | 118 | 142 | 62.291 | 9,30 | 8,11 | 2,87 | 3,69 | 1,89 | 2,28 | 1,15 | 0,81 |
| Nov. 2025 | 571 | 499 | 166 | 268 | 98 | 149 | 62.601 | 9,12 | 7,97 | 2,65 | 4,28 | 1,57 | 2,38 | 1,14 | 0,80 |
| Dez. 2025 | 924 | 813 | 330 | 406 | 109 | 235 | 62.338 | 14,82 | 13,04 | 5,29 | 6,51 | 1,75 | 3,77 | 1,14 | 1,30 |
| Jan. 2026 | 840 | 742 | 299 | 425 | 145 | 222 | 62.925 | 13,35 | 11,79 | 4,75 | 6,75 | 2,30 | 3,53 | 1,13 | 1,18 |
| Feb. 2026 | 679 | 592 | 175 | 331 | 149 | 237 | 63.549 | 10,68 | 9,32 | 2,75 | 5,21 | 2,34 | 3,73 | 1,15 | 0,93 |
| März 2026 | 627 | 528 | 131 | 320 | 170 | 220 | 64.471 | 9,73 | 8,19 | 2,03 | 4,96 | 2,64 | 3,41 | 1,19 | 0,82 |
| Apr. 2026 | 472 | 536 | 78 | 230 | 141 | 211 | 65.318 | 7,23 | 8,21 | 1,19 | 3,52 | 2,16 | 3,23 | 0,88 | 0,82 |
| Mai 2026 | 581 | 467 | 148 | 302 | 180 | 216 | 66.968 | 8,68 | 6,97 | 2,21 | 4,51 | 2,69 | 3,23 | 1,24 | 0,70 |
| Juni 2026 | 831 | 617 | 130 | 465 | 309 | 333 | 69.015 | 12,04 | 8,94 | 1,88 | 6,74 | 4,48 | 4,83 | 1,35 | 0,89 |
| Juli 2026 | 1.073 | 746 | 116 | 542 | 336 | 420 | 71.468 | 15,01 | 10,44 | 1,62 | 7,58 | 4,70 | 5,88 | 1,44 | 1,04 |
| Aug. 2026 | 1.189 | 763 | 156 | 687 | 474 | 533 | 73.825 | 16,11 | 10,34 | 2,11 | 9,31 | 6,42 | 7,22 | 1,56 | 1,03 |
| Sep. 2026 | 1.346 | 805 | 117 | 691 | 397 | 707 | 76.895 | 17,50 | 10,47 | 1,52 | 8,99 | 5,16 | 9,19 | 1,67 | 1,05 |
| Okt. 2026 bis 20 Okt., hochgerechnet | 1.852 | 1.240 | 359 | 1.011 | 832 | 1.022 | 76.248 | 24,29 | 16,26 | 4,71 | 13,26 | 10,91 | 13,40 | 1,49 | 1,63 |
153,3 pro 1.000 in 2026 (bis 20 Okt., hochgerechnet)
Daten als Tabelle
← wischen →
| Jahr | Sicherheitslücken | Betroffene Plugins | Nicht behoben | Ohne Auth | Critical/High | ≥10.000 Installs | Verzeichnis | Lücken/1k | Plugins/1k | Ungepatcht/1k | Ohne Auth/1k | Crit/High/1k | Populär/1k | Lücken / betroffen | Betroffen % |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 2012 | 204 | 198 | 54 | 185 | 117 | 29 | 26.796 | 7,61 | 7,39 | 2,02 | 6,90 | 4,37 | 1,08 | 1,03 | 0,74 |
| 2013 | 232 | 181 | 73 | 214 | 121 | 28 | 32.868 | 7,06 | 5,51 | 2,22 | 6,51 | 3,68 | 0,85 | 1,28 | 0,55 |
| 2014 | 614 | 506 | 194 | 546 | 265 | 134 | 39.912 | 15,38 | 12,68 | 4,86 | 13,68 | 6,64 | 3,36 | 1,21 | 1,27 |
| 2015 | 718 | 509 | 93 | 569 | 337 | 186 | 47.443 | 15,13 | 10,73 | 1,96 | 11,99 | 7,10 | 3,92 | 1,41 | 1,07 |
| 2016 | 418 | 303 | 63 | 316 | 201 | 146 | 54.970 | 7,60 | 5,51 | 1,15 | 5,75 | 3,66 | 2,66 | 1,38 | 0,55 |
| 2017 | 409 | 325 | 86 | 318 | 178 | 108 | 61.917 | 6,61 | 5,25 | 1,39 | 5,14 | 2,87 | 1,74 | 1,26 | 0,52 |
| 2018 | 314 | 197 | 25 | 202 | 128 | 138 | 61.781 | 5,08 | 3,19 | 0,40 | 3,27 | 2,07 | 2,23 | 1,59 | 0,32 |
| 2019 | 475 | 499 | 27 | 356 | 251 | 246 | 57.271 | 8,29 | 8,71 | 0,47 | 6,22 | 4,38 | 4,30 | 0,95 | 0,87 |
| 2020 | 494 | 358 | 43 | 298 | 242 | 267 | 58.584 | 8,43 | 6,11 | 0,73 | 5,09 | 4,13 | 4,56 | 1,38 | 0,61 |
| 2021 | 1.473 | 1.171 | 285 | 774 | 507 | 575 | 60.017 | 24,54 | 19,51 | 4,75 | 12,90 | 8,45 | 9,58 | 1,26 | 1,95 |
| 2022 | 2.341 | 2.257 | 462 | 1.170 | 827 | 928 | 61.072 | 38,33 | 36,96 | 7,56 | 19,16 | 13,54 | 15,20 | 1,04 | 3,70 |
| 2023 | 4.778 | 3.562 | 951 | 2.311 | 810 | 1.453 | 61.440 | 77,77 | 57,97 | 15,48 | 37,61 | 13,18 | 23,65 | 1,34 | 5,80 |
| 2024 | 8.006 | 4.422 | 1.823 | 3.374 | 1.485 | 2.587 | 61.147 | 130,93 | 72,32 | 29,81 | 55,18 | 24,29 | 42,31 | 1,81 | 7,23 |
| 2025 | 10.015 | 6.698 | 4.088 | 4.807 | 1.779 | 1.757 | 61.685 | 162,36 | 108,58 | 66,27 | 77,93 | 28,84 | 28,48 | 1,50 | 10,86 |
| 2026 bis 20 Okt., hochgerechnet | 11.688 | 4.933 | 2.047 | 5.896 | 3.725 | 4.880 | 76.248 | 153,29 | 64,70 | 26,85 | 77,33 | 48,85 | 64,00 | 2,37 | 6,47 |
Nachfolgender Teil ist KI-erhoben
Stand der Recherche: 19.10.2026. Alle Angaben stammen aus den verlinkten Quellen. Markierungen: [unsicher] heißt, die Angabe widerspricht einer anderen Quelle oder ließ sich nur indirekt prüfen.
1. History der Erfassung von Sicherheitslücken
| Datum | Ereignis | Quelle |
|---|---|---|
| 2014 | WPScan beginnt, Core-/Plugin-/Theme-Schwachstellen in einer eigenen Datenbank zu sammeln (bis Anfang 2021 nach eigener Aussage >21.875 Einträge) | https://wpscan.com/blog/wpscan-authorized-as-a-cve-numbering-authority-by-the-cve-program/ |
| 12.01.2021 | WPScan wird CNA (Scope: „WordPress core, plugins, and themes“, Root: MITRE) | https://www.cve.org/Resources/Media/Archives/OldWebsite/data/board/archives/202x_content/New-CNA-WPScan-tp1937.html |
| Anfang 2021 | WebARX übernimmt ThreatPress samt WordPress-Schwachstellendatenbank | https://patchstack.com/articles/why-did-we-rebrand-from-webarx-to-patchstack/ |
| 01.03.2021 (Blogpost); LinkedIn-Reveal 10./11.03.2021 | WebARX benennt sich in Patchstack um (WebARX-Plattform gibt es seit 2018) | https://patchstack.com/articles/why-did-we-rebrand-from-webarx-to-patchstack/ · https://wptavern.com/webarx-rebrands-to-patchstack-combines-services-to-focus-on-wordpress-plugin-and-theme-security |
| März 2021 | Start der Bug-Hunting-Community „Patchstack Red Team“ mit monatlichem Preispool (Sept. 2021: 1.500 $/Monat). [unsicher] Das Whitepaper 2021 nennt „since April 2021“ als Beginn der Reports. | https://patchstack.com/articles/patchstack-red-team-report-1067-vulnerabilities-7700-in-rewards/ · https://patchstack.com/whitepaper/the-state-of-wordpress-security-in-2021/ |
| 10.06.2021 | Wordfence wird CNA | https://www.cve.org/Resources/Media/Archives/OldWebsite/data/board/archives/202x_content/New-CNA-Wordfence-tp1994.html · https://www.wordfence.com/blog/2021/06/wordfence-is-now-a-cve-numbering-authority-cna/ |
| 16.06.2021 | Patchstack OÜ wird CNA (CNA-Typ u. a. „Bug Bounty Programs“) | https://www.cve.org/Resources/Media/Archives/OldWebsite/data/board/archives/202x_content/New-CNA-Patchstack-OU-tp1997.html · https://patchstack.com/articles/patchstack-cve-numbering-authority/ |
| 20.09.2021 | Patchstack: Red Team hat in den ersten 6 Monaten 1.067 Schwachstellen gefunden und 7.700 $ ausgezahlt | https://patchstack.com/articles/patchstack-red-team-report-1067-vulnerabilities-7700-in-rewards/ |
| 04.11.2021 | Automattic übernimmt WPScan | https://wpscan.com/blog/wpscan-joins-automattic/ |
| 15.03.2022 | Umbenennung Red Team → Patchstack Alliance. Bilanz erstes Jahr: >1.000 Reports, >13.000 $ Bounties | https://patchstack.com/articles/introducing-patchstack-alliance/ |
| 14.12.2022 | Wordfence Intelligence Community Edition: kostenlose Schwachstellen-DB samt API, auch kommerziell nutzbar, >8.000 Einträge zum Start. (Die Enterprise-Version „Wordfence Intelligence“ kam 2022 zur Black Hat.) | Wordfence-Report 2022 (PDF, S. 5): https://www.wordfence.com/wp-content/uploads/2023/01/The-Wordfence-2022-State-of-WordPress-Security-Report.pdf · Launch-Post (Spiegel): https://malware.news/t/wordfence-launches-free-vulnerability-database-for-commercial-use-and-launches-security-portal/65751 |
| 09.11.2023 | Start des Wordfence Bug Bounty Program (Bezahlung pro Schwachstelle; anfangs Plugins/Themes mit 50.000+ Installationen) | https://www.wordfence.com/blog/2023/11/wordfence-launches-bug-bounty-program-to-fund-wordpress-security-research-and-showcase-researchers/ · https://wptavern.com/wordfence-launches-bug-bounty-program |
| Aug. 2024 | Patchstack zahlt 16.400 $ für eine Privilege Escalation in LiteSpeed Cache („highest bounty ever paid in the WordPress ecosystem“) | https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/ |
| Sept. 2024 | Patchstack startet eine kostenlose mVDP-Plattform für Plugin-Entwickler (mit Unterstützung der EU-Kommission, Bezug zum CRA) | https://patchstack.com/whitepaper/state-of-wordpress-security-in-2025/ |
| 2024 (veröff. 03.03.2025) | Wordfence-Bounty-Bilanz 2024: >5.100 Submissions, >4.400 validiert, >450.000 $ ausgezahlt | https://malware.news/t/enhancing-the-wordfence-bug-bounty-program-new-incentives-a-stronger-focus-on-high-impact-research/91666 (Original: https://www.wordfence.com/blog/2025/03/wordfence-bug-bounty-program-2025-updates/) |
| 01.03.2025 | Wordfence senkt die Prämien für Low-Risk-Funde (z. B. Contributor-Level), führt einen Mindestbetrag von 5 $ ein und einen Streak-Bonus von bis zu 1.200 $; Höchstprämie bis 31.200 $ | ebd. |
| Okt. 2025 bis Apr. 2026 | Wordfence: Submissions +453 % seit Oktober 2025. Der Anteil KI-gestützter Reports steigt von 16 % auf ~66 % (Selbstauskunft der Forscher, erfasst ab Ende Nov. 2025) | https://www.wordfence.com/blog/2026/04/the-increasing-role-of-ai-in-vulnerability-research/ (Volltext-Spiegel: https://malware.news/t/the-increasing-role-of-ai-in-vulnerability-research/105937) |
| 25.02.2026 | Patchstack-Whitepaper 2026: 11.334 Schwachstellen in 2025 (+42 %), „significant increase of AI generated ‚slop‘ vulnerability reports in 2025“ | https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/ |
| 29.05.2026, gültig ab 01.06.2026 | Patchstack verengt den Bounty-Scope wegen KI-bedingter Low-Impact-Reports und Duplikate. Reports mit „incorrect AI-generated assumptions“ ziehen eine Woche Sperre nach sich | https://patchstack.com/articles/the-future-of-the-patchstack-bug-bounty-program/ · https://patchstack.com/articles/bug-bounty-guidelines-rules/ |
Schreibe einen Kommentar