Konrad Griesser – WordPress-Sicherheitsticker https://konrad-griesser.de/wordpress-sicherheit/ Sicherheits- und Versionsmeldungen zu WordPress, WooCommerce, PHP und Joomla mit betroffenen Versionen und Handlungsempfehlung. de-DE Wed, 04 Nov 2026 07:03:32 GMT [Kritisch] HTTP2Shell: Die Brotli-Lücke erreicht WordPress über Pingbacks, und kein Update im Dashboard hilft https://konrad-griesser.de/blog/http2shell-brotli-luecke-wordpress-pingback-abschalten/ https://konrad-griesser.de/blog/http2shell-brotli-luecke-wordpress-pingback-abschalten/ Wed, 04 Nov 2026 07:30:00 GMT Betroffen: Brotli 1.0.3 bis 1.2.0 im libcurl des Webservers (CVE-2026-111497); jede WordPress-Installation mit offenem Pingback oder Plugins, die fremde URLs abrufen – Was zu tun ist: Hoster nach der korrigierten libbrotli1-Paketversion fragen; bis dahin Pingback abschalten und die Brotli-Dekodierung per Must-Use-Plugin unterbinden. [Kritisch] WordPress 7.1.4: 22 Sicherheitslücken geschlossen, eine davon ganz ohne Benutzerkonto ausnutzbar https://konrad-griesser.de/blog/wordpress-7-1-4-sicherheitsupdate-rce-ohne-konto/ https://konrad-griesser.de/blog/wordpress-7-1-4-sicherheitsupdate-rce-ohne-konto/ Fri, 30 Oct 2026 07:30:00 GMT Betroffen: WordPress bis 7.1.3 (Rechteausweitung im Update-Prozess ohne Anmeldung) – Was zu tun ist: Sofort auf 7.1.4 aktualisieren. [Kritisch] PHP2Shell: Warum das WordPress-Update gegen die kritische PHP-Lücke nichts hilft und was Sie heute prüfen müssen https://konrad-griesser.de/blog/php2shell-kritische-php-luecke-wordpress-update-hilft-nicht/ https://konrad-griesser.de/blog/php2shell-kritische-php-luecke-wordpress-update-hilft-nicht/ Thu, 22 Oct 2026 07:30:00 GMT Betroffen: PHP vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12 (CVE-2026-109618, CVE-2026-109619) – Was zu tun ist: PHP-Version beim Hoster prüfen und anheben lassen. Ein WordPress-Update hilft nicht. [Version] WooCommerce-Checkout bricht nach Update auf 11.2.0 ab: Was 11.2.1 behebt https://konrad-griesser.de/blog/woocommerce-11-2-0-checkout-bricht-ab-11-2-1-behebt-es/ https://konrad-griesser.de/blog/woocommerce-11-2-0-checkout-bricht-ab-11-2-1-behebt-es/ Thu, 15 Oct 2026 07:30:00 GMT Betroffen: WooCommerce 11.2.0 (Checkout) – Was zu tun ist: Auf 11.2.1 aktualisieren und den Checkout mit einer Testbestellung prüfen. [Hoch] WordPress 7.1.3: Sieben Sicherheitskorrekturen bei Kommentaren und Datenexport https://konrad-griesser.de/blog/wordpress-7-1-3-sicherheitsrelease-kommentare-wxr-export/ https://konrad-griesser.de/blog/wordpress-7-1-3-sicherheitsrelease-kommentare-wxr-export/ Fri, 09 Oct 2026 07:30:00 GMT Betroffen: WordPress bis 7.1.2 (Kommentare, WXR-Export, Imgur-Einbettung) – Was zu tun ist: Auf 7.1.3 aktualisieren. [Version] WooCommerce erhöht die PHP-Mindestversion: Was Sie vor Version 11.6 an Ihrem Shop prüfen sollten https://konrad-griesser.de/blog/woocommerce-11-6-php-mindestversion-8-1-was-shopbetreiber-pruefen-muessen/ https://konrad-griesser.de/blog/woocommerce-11-6-php-mindestversion-8-1-was-shopbetreiber-pruefen-muessen/ Tue, 06 Oct 2026 07:30:00 GMT Betroffen: WooCommerce ab 11.6 verlangt PHP 8.1 – Was zu tun ist: PHP-Version vor dem Update prüfen, bei 8.0 oder älter zuerst PHP wechseln. [Hoch] Joomla 6.1.4 und 5.4.9: Warum zwei Updates am selben Tag erscheinen und was jetzt zu tun ist https://konrad-griesser.de/blog/joomla-6-1-4-5-4-9-zwei-versionszweige-ein-update-tag/ https://konrad-griesser.de/blog/joomla-6-1-4-5-4-9-zwei-versionszweige-ein-update-tag/ Mon, 05 Oct 2026 07:30:00 GMT Betroffen: Joomla 6.1.x vor 6.1.4 und 5.4.x vor 5.4.9 – Was zu tun ist: Auf 6.1.4 beziehungsweise 5.4.9 aktualisieren. [Version] PHP 8.6 kommt, PHP 8.3 bekommt nur noch Sicherheitsupdates: Welche Version ins Hosting gehört https://konrad-griesser.de/blog/php-8-6-vor-der-tuer-php-8-3-nur-noch-sicherheitsupdates-welche-version-im-hosting/ https://konrad-griesser.de/blog/php-8-6-vor-der-tuer-php-8-3-nur-noch-sicherheitsupdates-welche-version-im-hosting/ Sun, 27 Sep 2026 07:30:00 GMT Betroffen: PHP 8.3 (nur noch Sicherheitsupdates), Sicherheitsversionen 8.5.11 und 8.3.35 – Was zu tun ist: PHP-Version im Hosting prüfen, Wechsel von 8.3 auf 8.4 oder 8.5 planen. [Kritisch] WordPress 7.1.2: kritische Lücke ohne Anmeldung ausnutzbar, Angreifer scannten kurz nach dem Patch https://konrad-griesser.de/blog/wordpress-7-1-2-kritische-luecke-angreifer-scannen-stunden-nach-dem-patch/ https://konrad-griesser.de/blog/wordpress-7-1-2-kritische-luecke-angreifer-scannen-stunden-nach-dem-patch/ Wed, 23 Sep 2026 07:30:00 GMT Betroffen: WordPress bis 7.1.1 (Vorlagenauflösung) – Was zu tun ist: Sofort auf 7.1.2 aktualisieren, Zugriffsprotokolle der letzten Tage prüfen. [Version] WordPress 7.2 kommt Anfang Dezember: Sudo-Modus, Inhaltsverzeichnis-Block, Formulare im Site-Editor https://konrad-griesser.de/blog/wordpress-7-2-roadmap-was-betreiber-erwartet/ https://konrad-griesser.de/blog/wordpress-7-2-roadmap-was-betreiber-erwartet/ Sat, 19 Sep 2026 07:30:00 GMT Betroffen: WordPress 7.2 (angekündigt) – Was zu tun ist: Nichts zu tun. Testumgebung für Sudo-Modus und neue Blöcke einplanen. [Kritisch] WordPress 7.1.1: elf Sicherheitskorrekturen und ein Klick, der zur Hintertür wurde https://konrad-griesser.de/blog/wordpress-7-1-1-sicherheitsrelease-click2shell-jetzt-aktualisieren/ https://konrad-griesser.de/blog/wordpress-7-1-1-sicherheitsrelease-click2shell-jetzt-aktualisieren/ Fri, 18 Sep 2026 07:30:00 GMT Betroffen: WordPress bis 7.1.0 (Click2Shell und zehn weitere Lücken) – Was zu tun ist: Auf 7.1.1 aktualisieren, Theme-Liste auf fremde Einträge prüfen. [Hoch] Tutor LMS bis 4.0.7: Jeder Kursteilnehmer konnte den Server übernehmen. Was Betreiber jetzt prüfen https://konrad-griesser.de/blog/tutor-lms-luecke-php-object-injection-kursplattform-pruefen/ https://konrad-griesser.de/blog/tutor-lms-luecke-php-object-injection-kursplattform-pruefen/ Thu, 17 Sep 2026 07:30:00 GMT Betroffen: Tutor LMS vor 4.0.8 – Was zu tun ist: Auf 4.0.8 oder neuer aktualisieren, Abonnentenkonten prüfen. [Hoch] Lücke in WooCommerce Wholesale Lead Capture wird ausgenutzt: Shop in fünf Schritten prüfen https://konrad-griesser.de/blog/woocommerce-wholesale-lead-capture-luecke-aktiv-ausgenutzt-shop-pruefen/ https://konrad-griesser.de/blog/woocommerce-wholesale-lead-capture-luecke-aktiv-ausgenutzt-shop-pruefen/ Mon, 14 Sep 2026 07:30:00 GMT Betroffen: Plugin WooCommerce Wholesale Lead Capture bis 2.0.3.1 – Was zu tun ist: Plugin auf die aktuelle Version bringen, Upload-Ordner auf fremde Dateien prüfen. [Hinweis] Cyber Resilience Act: Meldepflichten seit 11. September. Was das für WordPress-Plugins bedeutet https://konrad-griesser.de/blog/cyber-resilience-act-meldepflicht-ab-11-september-was-website-betreiber-wissen-muessen/ https://konrad-griesser.de/blog/cyber-resilience-act-meldepflicht-ab-11-september-was-website-betreiber-wissen-muessen/ Fri, 11 Sep 2026 07:30:00 GMT Betroffen: Hersteller von Plugins, Themes und Software; Betreiber nur mittelbar – Was zu tun ist: Keine Sofortmaßnahme. Bei Plugin-Anbietern auf Meldewege und Update-Fristen achten.