WordPress-Sicherheitslücke aktuell: Was Sie prüfen sollten

Kurz gesagt (Stand 01.11.2026):

• Aktuell ist WordPress 7.1.4 vom 28.10.2026. Für ältere Zweige gibt es eigene Sicherheitsupdates, etwa 7.0.8, 6.9.11 und 6.8.12.
• Vier Sicherheitsupdates in sechs Wochen. Die mit 7.1.2 geschlossene Lücke steht seit dem 25.09. im Katalog nachweislich ausgenutzter Lücken der US-Behörde CISA. 7.1.4 schließt eine Lücke im Update-Vorgang selbst, Wordfence meldet dazu Angriffsversuche.
• Prüfen Sie die Versionsnummer selbst. Automatische Updates laufen meist, auf manchen Seiten sind sie abgeschaltet oder gestört.
• WP2Shell bezeichnet zwei Lücken vom Juli. Wer heute 7.1.4 oder das neueste Update seines Zweigs hat, ist gegen diese Lücken nicht mehr anfällig. Kam das Update spät, kann die Seite vorher angegriffen worden sein.
• Rank Math PRO: betroffen sind nur Pakete der Version 3.0.123, heruntergeladen oder per Update bezogen zwischen dem 15.10., 22:02 Uhr, und dem 16.10., 09:12 Uhr deutscher Zeit.
• UpdraftPlus: Der Einbruch traf den Hersteller TeamUpdraft, Plugin und Downloads waren laut TeamUpdraft nicht betroffen. Seiten, die je mit UpdraftCentral Cloud verbunden waren, müssen trotzdem prüfen. Verbunden war eine Seite laut Patchstack schon, wenn im Plugin ein teamupdraft.com-Konto verbunden wurde und ein voreingestelltes Häkchen gesetzt blieb. Premium-Nutzern rät TeamUpdraft auch ohne UpdraftCentral zur Prüfung.

Seit Mitte September hat WordPress vier Sicherheitsupdates veröffentlicht, dazu kamen ein manipuliertes Paket von Rank Math PRO und ein Einbruch beim Hersteller von UpdraftPlus. Für Betreiber einer WordPress-Seite oder eines WooCommerce-Shops zählen drei Fragen: Hat meine Seite die Updates? Betreffen mich die Plugin-Fälle? Und wo muss ich selbst handeln?

Welche WordPress-Version ist aktuell sicher?

WordPress unterstützt aktiv nur die jeweils neueste Version. Im Versionsarchiv heißt es: „Only the most recent in the 7.1 series is safe to use and actively maintained.“ (WordPress-Versionsarchiv). Für ältere Zweige liefert WordPress die Korrekturen trotzdem nach, laut den Release-Hinweisen aus Kulanz und mit eigenen Versionen (WordPress 7.1.4):

Quellen: WordPress 7.1.4 (HelpHub), WordPress 7.1.1 (HelpHub), Versionsarchiv, abgerufen am 01.11.2026. Die übrigen Zweige zwischen 4.7 und 7.0 haben ebenfalls Sicherheitsversionen; welche, steht im Versionsarchiv.

Das Sicherheitsupdate des eigenen Zweigs genügt laut IONOS und Strato, um die Lücken zu schließen. Auf Dauer bleibt ein alter Zweig trotzdem ein Risiko, weil WordPress nur die neueste Version aktiv pflegt.

Hängt Ihre Seite wegen einer alten PHP-Version auf einem alten Zweig fest: Wie Sie die PHP-Version sicher umstellen, steht in unserem Beitrag WordPress und WooCommerce: PHP-Version sicher aktualisieren.

Welche Lücken haben die Updates seit September geschlossen?

Quellen: Release-Hinweise 7.1.1, 7.1.2, 7.1.3, 7.1.4, HelpHub 7.1.4 und zur Bedingung bei 7.1.1 Patchstack, abgerufen am 01.11.2026.

Mit 7.1.2 hat WordPress eine Lücke geschlossen, über die ein Angreifer ohne Anmeldung „under certain conditions“ eine lesbare PHP-Datei außerhalb der Theme-Ordner einbinden lassen kann. Erfüllen Server und aktives Theme bestimmte Voraussetzungen, führt das zu Schadcode auf dem Server (WordPress 7.1.2).

Die mit 7.1.2 geschlossene Lücke wurde bereits angegriffen. Die US-Behörde CISA hat die Lücke, CVE-2026-87902, am 25.09.2026 in ihren Katalog nachweislich ausgenutzter Lücken aufgenommen (CISA-Katalog). Der Sicherheitsdienst Patchstack schreibt: „The first attempts reached our firewall at 11:49 UTC on 22 September 2026, the same day 7.1.2 was published.“ (Patchstack)

7.1.4 betrifft das Update selbst. WordPress nennt „A weakness in the WordPress upgrade process which can lead to remote code execution during the upgrade window“, also eine Schwäche, die während des Update-Vorgangs zu Schadcode führen kann (WordPress 7.1.4).

Der Sicherheitsdienst Wordfence beschreibt diese Schwäche als Lücke ohne Anmeldung, CVE-2026-119977, betroffen sind die Versionen 4.7 bis 7.1.3. Die Hürde für Angreifer ist laut Wordfence hoch, trotzdem: „Threat actors are already actively attempting to exploit it“ (Wordfence). Nutzer der kostenlosen Wordfence-Version bekommen die passende Firewall-Regel erst am 27.11.2026.

Der Warn- und Informationsdienst von CERT-Bund beim BSI hat im September und Oktober mehrere Meldungen zu WordPress herausgegeben, etwa am 07.10.2026 zu den mit 7.1.3 geschlossenen Lücken (WID-SEC-2026-3769). Eine eigene Cyber-Sicherheitswarnung des BSI zu den Updates seit September haben wir nicht gefunden.

Läuft das Update automatisch, auch bei IONOS und Strato?

Meistens ja. Laut WordPress bekommen bestehende Installationen Unterversionen wie 7.1.4 standardmäßig automatisch: „Existing installations receive minor core updates by default.“ (WordPress-Doku zu Updates). Abschalten lassen sie sich unter anderem in der Datei wp-config.php, mit AUTOMATIC_UPDATER_DISABLED auf true oder WP_AUTO_UPDATE_CORE auf false, und per Plugin über Filter. Auch ein Versionsverwaltungsordner wie .git im WordPress-Verzeichnis kann automatische Updates verhindern. WordPress selbst rät davon ab, sie abzuschalten.

Wordfence empfiehlt ausdrücklich, das Ergebnis zu prüfen: „we strongly recommend checking your site rather than assuming the update completed.“ (Wordfence)

Verdächtig sind laut Wordfence unerwartete Zugriffe auf PHP-Dateien unter wp-content/upgrade, unbekannte Administratorkonten, unerwartete Plugins oder PHP-Dateien, die Sie nicht selbst abgelegt haben (Wordfence).

Was die Hoster sagen:

• IONOS: „Kunden, die Hosting für WordPress mit automatischen Updates verwenden, müssen nichts tun.“ WordPress in anderen Verträgen, etwa im Webhosting-Paket, auf VPS oder Dedicated Server, müssen Sie selbst aktualisieren. Haben Sie automatische Updates in WordPress selbst eingeschaltet, rät IONOS: „Prüfen Sie, ob Ihre Website Version 7.1.4 anzeigt.“ Alle bei IONOS gehosteten Seiten seien schon vor Bekanntwerden der Lücken gegen bekannte Angriffsversuche geschützt gewesen. Trotzdem gilt laut IONOS: „Die Schwachstellen in WordPress selbst schließt nur das Update.“ (IONOS-Hilfe zu 7.1.4, IONOS-Status)
• Strato: Im Sicherheitsmodus von Managed WordPress und Hosting für WordPress: „Sie müssen nichts tun, die Aktualisierung übernehmen wir.“ Im Flexibilitäts-Modus und für WordPress auf Webhosting, V-Server oder Dedicated Server sind Sie selbst zuständig. Strato schreibt: „Nur das Update schließt die Sicherheitslücken selbst.“ (Strato-FAQ zu 7.1.4)

Zu den beiden PHP-Lücken vom Oktober steht mehr in unserem Beitrag Kritische PHP-Sicherheitslücken im Oktober 2026. Beim Webhosting spielt in der Regel der Hoster die Korrektur ein, bei PHP 8.1 und älter fragen Sie bei ihm nach. Läuft die Seite auf einem eigenen Server, etwa einem VPS, sind Sie oder Ihr Dienstleister zuständig.

Welche WordPress-Version habe ich?

Das sehen Sie im Dashboard unter „Auf einen Blick“ oder unten rechts auf jeder Seite im Adminbereich (Strato-FAQ zu 7.1.4). Ausführlicher zeigt es der Website-Zustand: Unter Werkzeuge > Website-Zustand > Bericht steht im Abschnitt WordPress die Version. Im Tab „Status“ meldet WordPress außerdem, wenn automatische Hintergrund-Updates nicht wie erwartet funktionieren (WordPress-Doku zum Website-Zustand).

Was ist WP2Shell, und bin ich betroffen?

WP2Shell nennt die Sicherheitsfirma Searchlight Cyber eine Lücke im WordPress-Kern, über die Angreifer ohne Anmeldung Schadcode auf den Server bringen konnten (wp2shell.com). Laut BSI ist es eine Kette aus zwei Lücken, CVE-2026-60137 und CVE-2026-63030 (BSI).

Die Lücken stammen nicht aus dem Herbst: WordPress hat sie am 17.07.2026 mit Version 7.0.2 geschlossen, dazu mit 6.9.5 und 6.8.6 (WordPress 7.0.2). Wegen der Schwere hat WordPress.org die Updates damals über die automatischen Updates erzwungen. Wer automatische Updates abgeschaltet hatte oder bei wem sie etwa wegen Dateirechten nicht liefen, sollte laut BSI selbst aktualisieren (BSI-Warnung als PDF). Die CISA hat beide Lücken am 21.07.2026 in ihren Katalog ausgenutzter Lücken aufgenommen (CISA-Katalog), das BSI hat dazu eine Cyber-Sicherheitswarnung veröffentlicht (BSI).

Von WP2Shell betroffen waren WordPress 6.9 vor 6.9.5 und 7.0 vor 7.0.2, außerdem eine Beta von 7.1. WordPress 6.8 vor 6.8.6 hatte nur eine der beiden Lücken, ältere Versionen keine (WordPress 7.0.2). Wer heute 7.1.4 oder das neueste Update seines Zweigs hat, ist gegen diese Lücken nicht mehr anfällig. Bekam Ihre Seite das Update nicht schon am 17.07.2026, rät das BSI, sie auf einen bereits erfolgten Einbruch zu prüfen (BSI-Warnung als PDF). WP2Shell ist auch nicht dasselbe wie PHP2Shell, die beiden PHP-Lücken vom Oktober.

Rank Math PRO 3.0.123: Bin ich betroffen, und was ist zu tun?

Rank Math schreibt von einem Problem bei Nutzern, „who downloaded Rank Math PRO v3.0.123 between October 15, 2026, at 20:02 UTC and October 16, 2026, at 07:12 UTC“. Die Schritte des Herstellers gelten für alle, die Rank Math PRO in diesem Zeitraum heruntergeladen oder auf 3.0.123 aktualisiert haben (Rank Math). In deutscher Zeit war das vom 15.10. um 22:02 Uhr bis zum 16.10. um 09:12 Uhr. Ein Teil der Pakete aus diesem Zeitraum enthielt laut Rank Math und dem CVE-Eintrag CVE-2026-111862 (NVD) Schadcode, der die Seite kompromittieren konnte, sobald das Plugin aktiviert war. Die bereinigte Version ist 3.0.124. Die kostenlose Version Rank Math SEO aus dem Plugin-Verzeichnis ist laut Hersteller nicht betroffen.

Die Versionsnummer allein beweist noch keinen Befall. Im selben Eintrag steht: „version 3.0.123 alone is not sufficient to establish compromise“ (NVD).

Rank Math unterscheidet drei Fälle (Rank Math):

• Nur heruntergeladen: Aus diesem Vorfall allein gibt es keinen Hinweis auf eine Kompromittierung.
• Installiert, nie aktiviert: Plugin-Dateien löschen, 3.0.124 aus dem Rank-Math-Konto installieren, zur Vorsicht einen Sicherheitsscan laufen lassen.
• Im Zeitraum installiert und aktiviert: Die Seite als kompromittiert behandeln. Rank Math empfiehlt, Seite und Datenbank aus einer Sicherung von vor dem 15.10., 20:02 UTC, zurückzuspielen und alle Passwörter, Datenbankzugänge und API-Schlüssel zu ändern. Deaktivieren allein genügt laut Hersteller nicht. Laut Rank Math kann der Schadcode seine versteckte Hintertür bei jedem Besuch der Seite neu anlegen.

Wer ein schon aktives Rank Math PRO im Zeitraum auf 3.0.123 aktualisiert hat, fällt nach unserer Lesart unter den dritten Fall: Die Schritte gelten laut Rank Math auch für alle, die „updated to the affected version“, und das Plugin lief danach aktiv (Rank Math).

Die Merkmale, an denen Sie einen Befall erkennen, und die Reihenfolge der Schritte stehen auf der Seite von Rank Math. Halten Sie sich an diese Reihenfolge.

Was ist bei UpdraftPlus passiert, und was muss ich prüfen?

Hier lag der Fall anders als bei Rank Math: Am Wochenende vom 17. und 18.10.2026 hat der Hersteller TeamUpdraft einen unbefugten Zugriff auf seine Website festgestellt, vermutlich auch auf die Kundendatenbank und darin auf „connection keys for UpdraftCentral, UpdraftVault and UpdraftClone“ (TeamUpdraft). Mit den UpdraftCentral-Schlüsseln lassen sich verbundene WordPress-Seiten aus der Ferne verwalten. Der Sicherheitsdienst Patchstack beobachtete, dass ein Angreifer mit gültigen Schlüsseln Hintertür-Plugins auf verbundenen Seiten installierte (Patchstack).

„The UpdraftPlus plugin itself and its downloads were not affected“, schreibt TeamUpdraft, und auch selbst gehostetes UpdraftCentral sei nicht betroffen. Prüfen müssen Sie trotzdem, und zwar laut Hersteller „on every website that has ever been connected to UpdraftCentral Cloud, even if you have already disconnected it“ (TeamUpdraft).

Verbunden sein kann eine Seite auch ohne Ihr bewusstes Zutun: Laut Patchstack legte schon das Verbinden eines teamupdraft.com-Kontos im Plugin einen UpdraftCentral-Schlüssel an, solange ein voreingestelltes Häkchen gesetzt blieb (Patchstack). TeamUpdraft rät, sich über „My Account“ in UpdraftCentral anzumelden und die dort aufgeführten Seiten anzusehen; eine Seite in dieser Liste, die Sie nach dem UpdraftPlus-Update vom 19.10. nicht bewusst neu verbunden haben, sollten Sie zuerst prüfen. Nutzern von UpdraftPlus Premium rät TeamUpdraft auch ohne UpdraftCentral, ihre Seiten auf Auffälligkeiten zu prüfen (TeamUpdraft).

Die wichtigsten Schritte laut TeamUpdraft; die vollständige Liste steht auf der Seite des Herstellers:

1. UpdraftPlus auf 1.26.13 (kostenlos) oder 2.26.13 (Premium) oder neuer aktualisieren. Diese Versionen trennen alle UpdraftCentral-Verbindungen, die vor dem 18.10. um 13:07 Uhr britischer Zeit angelegt wurden; die alten Schlüssel funktionieren dann nicht mehr. Laut TeamUpdraft hat WordPress.org das Update an alle Nutzer verteilt; aus dem Plugin-Verzeichnis kommt allerdings nur die kostenlose Version. Prüfen Sie in jedem Fall die Versionsnummer.
2. Unter Einstellungen > UpdraftPlus > Erweiterte Werkzeuge > UpdraftCentral alle vorhandenen Verbindungsschlüssel löschen.
3. Nach unbekannten Plugins suchen, in der Plugin-Liste samt den Must-Use-Plugins und direkt in den Ordnern wp-content/plugins/ und wp-content/mu-plugins/: Die gefundenen Schad-Plugins können sich in der Plugin-Liste unsichtbar machen. Ein Schad-Plugin zuerst deaktivieren, dann seinen ganzen Ordner per SFTP, SSH oder Dateimanager löschen. Zum Löschen das Dashboard nicht benutzen.
4. Nach unbekannten Konten suchen. Auch Konten können in der Benutzerliste verborgen sein, auffällig sind laut TeamUpdraft vor allem unerwartete Redakteurs-Rollen.
5. Die Sicherheitsschlüssel und Salts von WordPress ändern. Damit enden alle bestehenden Anmeldungen. Außerdem die Passwörter aller echten Administrator- und Redakteurskonten ändern, ebenso das Passwort bei teamupdraft.com. Falls genutzt, die Zwei-Faktor-Anmeldung bei teamupdraft.com neu einrichten und die Zugangsdaten für UpdraftVault oder über UpdraftCentral verbundenen externen Speicher erneuern.

Wichtig ist der Nachtrag vom 29.10.2026: TeamUpdraft kennt Fälle, in denen ein vom Angreifer installiertes Plugin liegen blieb und später einen neuen Administrator anlegte, nachdem die Seite schon von UpdraftCentral getrennt war. Das Update und das Trennen der Verbindung entfernen nichts, was schon installiert ist. Finden Sie Auffälligkeiten, rät TeamUpdraft, die Seite aus einer Sicherung von vor dem 17.10. wiederherzustellen (TeamUpdraft).

Getrennt davon hat UpdraftPlus im Oktober zwei eigene Lücken beim Wiederherstellen von Sicherungen geschlossen, in den Versionen 1.26.9 bis 1.26.11 (UpdraftPlus-Änderungsliste). Mit dem Update aus Schritt 1 sind auch diese behoben.

Ihre WordPress-Seite im kostenlosen Check

Der kostenlose Check in Schritt 1 wertet nur Ihre Angaben aus. Wir melden uns dafür nicht auf Ihrer Seite an und scannen sie nicht.

Sie wissen nicht, ob Ihre Seite alle Updates hat oder ob einer der Plugin-Fälle Sie betrifft? So gehen wir vor:

1. Kostenloser Check. Sie erfahren, soweit Ihre Angaben dafür ausreichen, ob Ihre WordPress-Version alle Korrekturen bis 7.1.4 enthält, ob WordPress bei Ihrem Tarif und Ihrer Einstellung laut Hoster selbst aktualisiert wird, sofern der Hoster das veröffentlicht, und welche Schritte der Hersteller von Rank Math PRO oder UpdraftPlus für Ihren Fall vorsieht. Dafür schicken Sie uns per E-Mail an moritz@pankrates.com:
   • die WordPress-Version aus dem Dashboard
   • Ihren Hoster und den Namen Ihres Tarifs, dazu, falls Sie es wissen, ob automatische Updates im Kundenmenü eingeschaltet sind (bei Strato: Sicherheits- oder Flexibilitäts-Modus)
   • ob Rank Math PRO installiert ist, in welcher Version, ob Version 3.0.123 am 15. oder 16.10.2026 heruntergeladen, installiert oder aktualisiert wurde, ob das Plugin danach aktiviert war und ob Rank Math Ihnen dazu eine E-Mail geschickt hat
   • ob UpdraftPlus kostenlos oder als Premium installiert ist, in welcher Version, ob Sie ein Konto bei teamupdraft.com haben, ob die Seite je damit oder mit UpdraftCentral verbunden war und ob Sie UpdraftVault nutzen
2. Prüfung auf Spuren zum Festpreis. Ob sich in Dateien und Datenbank Ihrer WordPress-Installation Spuren finden, wie Hersteller, BSI und Wordfence sie beschreiben, zeigt erst der Blick hinein. Darauf beschränkt sich diese Prüfung. Zugriffsprotokolle, Crontabs, laufende Prozesse und alles andere außerhalb der Installation gehören nicht dazu. Ein Befund ohne Treffer beweist nicht, dass die Seite sauber ist. Die Prüfung kostet einen Festpreis, den wir Ihnen nach dem Check nennen. Beauftragen Sie danach die Bereinigung, rechnen wir ihn darauf an. Lief auf Ihrer Seite Rank Math PRO 3.0.123 aus einem Download oder Update zwischen dem 15.10., 22:02 Uhr, und dem 16.10., 09:12 Uhr, aktiv, entfällt dieser Schritt. Für diesen Fall gibt Rank Math eigene Schritte vor: eine Sicherung von Dateien und Datenbank von vor dem 15.10., 22:02 Uhr, zurückspielen oder, wenn das nicht geht, die Seite von Hand bereinigen und in beiden Fällen alle Zugangsdaten erneuern (Rank Math). Welche dieser Schritte wir übernehmen und zu welchem Preis, sagen wir Ihnen vorher.
3. Festpreis für die Arbeit. Mit dem Ergebnis der Prüfung nennen wir Ihnen den Preis für Updates oder Bereinigung. Finden wir dabei weitere Spuren, nennen wir Ihnen den Preis dafür, bevor wir weitermachen.

Der Check verpflichtet Sie zu nichts. Sie zahlen erst, wenn Sie ein Angebot annehmen.

Kostenlosen Check per E-Mail anfragen

Moritz Rottmann betreut mit Pankrates aus Schonungen bei Schweinfurt Websites und Onlineshops für Betriebe in ganz Deutschland. Alle Zahlen, Daten und Zitate in diesem Beitrag stammen aus den verlinkten Quellen, abgerufen am 01.11.2026.

Häufige Fragen

Welche WordPress-Version ist aktuell sicher?

Am 01.11.2026 ist WordPress 7.1.4 vom 28.10.2026 aktuell. Wer auf einem älteren Zweig bleibt, braucht dessen neuestes Sicherheitsupdate, etwa 7.0.8, 6.9.11 oder 6.8.12. WordPress selbst bezeichnet nur die neueste Version der 7.1-Reihe als sicher und aktiv gepflegt; ältere Zweige bekommen die Korrekturen aus Kulanz nachgeliefert. WordPress 4.6 und älter bekommen keine Sicherheitsupdates mehr.

Wurde die mit WordPress 7.1.2 geschlossene Lücke schon ausgenutzt?

Ja. Die US-Behörde CISA hat die Lücke CVE-2026-87902 am 25.09.2026 in ihren Katalog nachweislich ausgenutzter Lücken aufgenommen. Der Sicherheitsdienst Patchstack sah erste Angriffsversuche am 22.09.2026 um 11:49 UTC, am Tag des Updates. Zu Schadcode auf dem Server führt die Lücke laut WordPress nur, wenn Server und aktives Theme bestimmte Voraussetzungen erfüllen.

Was ist WP2Shell, und bin ich betroffen?

WP2Shell nennt die Sicherheitsfirma Searchlight Cyber eine Lücke, über die Angreifer ohne Anmeldung Schadcode auf den Server bringen konnten; laut BSI ist es eine Kette aus zwei Lücken. WordPress hat sie am 17.07.2026 mit Version 7.0.2 geschlossen, zusammen mit 6.9.5 und 6.8.6. Betroffen waren 6.9 vor 6.9.5 und 7.0 vor 7.0.2 sowie eine Beta von 7.1; 6.8 vor 6.8.6 hatte nur eine der beiden Lücken. Wer heute 7.1.4 oder das neueste Update seines Zweigs hat, ist gegen diese Lücken nicht mehr anfällig. Kam das Update nicht schon am 17.07.2026, rät das BSI, die Seite auf einen Einbruch zu prüfen.

Muss ich WordPress bei IONOS oder Strato selbst aktualisieren?

Das hängt am Tarif. IONOS aktualisiert laut eigener Hilfe bei Hosting für WordPress mit eingeschalteten automatischen Updates selbst; WordPress in anderen Verträgen müssen Sie selbst aktualisieren. Strato übernimmt das Update im Sicherheitsmodus von Managed WordPress und Hosting für WordPress; im Flexibilitäts-Modus und bei WordPress auf Webhosting, V-Server oder Dedicated Server sind Sie selbst zuständig. In jedem Fall lohnt der Blick auf die Versionsnummer.

Bin ich von Rank Math PRO 3.0.123 betroffen?

Laut Rank Math nur, wenn Sie Rank Math PRO 3.0.123 zwischen dem 15.10.2026, 20:02 UTC, und dem 16.10.2026, 07:12 UTC, heruntergeladen oder auf diese Version aktualisiert haben. Die kostenlose Version aus dem Plugin-Verzeichnis ist laut Hersteller nicht betroffen. Haben Sie ein solches Paket aktiviert, behandeln Sie die Seite laut Rank Math als kompromittiert.

Ist UpdraftPlus unsicher?

Im Oktober 2026 gab es zwei Fälle. Beim Einbruch beim Hersteller TeamUpdraft am 17. und 18.10. gerieten Verbindungsschlüssel für UpdraftCentral Cloud in falsche Hände; das Plugin und seine Downloads waren laut TeamUpdraft nicht betroffen. Jede Seite, die je mit UpdraftCentral Cloud verbunden war, sollte UpdraftPlus aktualisieren, die alten Schlüssel löschen und nach versteckten Plugins und Konten suchen. Laut Patchstack konnte schon das Verbinden eines teamupdraft.com-Kontos im Plugin eine Seite mit UpdraftCentral verbinden; Premium-Nutzern rät TeamUpdraft auch ohne UpdraftCentral zur Prüfung. Unabhängig davon hat UpdraftPlus in den Versionen 1.26.9 bis 1.26.11 zwei eigene Lücken beim Wiederherstellen von Sicherungen geschlossen. Das Update auf 1.26.13 (Premium 2.26.13) oder neuer sperrt die alten Schlüssel und schließt die Lücken beim Wiederherstellen; was ein Angreifer schon installiert hat, entfernt es nicht.