WordPress Schwachstellen-Scanner
Bekannte Sicherheitslücken in deinen WordPress-Plugins, von außen aufgespürt
Was prüft der WordPress Schwachstellen-Scanner?
Installierte Plugins und ihre Versionen, von außen erkannt
Abgleich von Plugins, Theme und WordPress-Core mit der Schwachstellendatenbank von Wordfence Intelligence
CVSS-Wert und Schweregrad zu jedem Fund
Die Plugin-Version, in der die Sicherheitslücke behoben ist
Nicht mehr weiterentwickelte Plugins und Plugins, die aus dem WordPress-Plugin-Verzeichnis entfernt wurden
Version des WordPress-Cores und ihr Status bei den Sicherheitsupdates
So funktioniert der WordPress Schwachstellen-Scan
In 4 Schritten von der URL zur priorisierten Update-Liste
-
1 Schritt 1
URL eingeben
Gib die Adresse der WordPress-Website ein. Du brauchst kein Plugin, keinen FTP-Zugang und keinen Login.
-
2 Schritt 2
Plugins und Versionen erkennen
Wir laden die Seite in einem echten Browser, erkennen die aktiven Plugins und ermitteln ihre Versionen aus mehreren Quellen.
-
3 Schritt 3
Abgleich mit der Datenbank
Jede erkannte Version wird mit den bekannten Sicherheitslücken aus Wordfence Intelligence abgeglichen, inklusive CVSS-Wert und Schweregrad.
-
4 Schritt 4
Betroffene Plugins aktualisieren
Der Report nennt zu jedem Fund die Version, in der die Lücke behoben ist. Aktualisiere die Plugins mit dem höchsten Schweregrad zuerst.
Schweregrade im Schwachstellen-Report
Jeder Fund trägt einen CVSS-Wert von 0 bis 10, der dir zeigt, wie dringend das Update ist
-
Kritisch
CVSS 9,0 bis 10,0Lässt sich meist ohne Login ausnutzen und führt oft zur vollständigen Übernahme der Website. Aktualisiere sofort oder deaktiviere das Plugin, bis ein Fix verfügbar ist.
-
Hoch
CVSS 7,0 bis 8,9Schwerwiegende Folgen, zum Beispiel Zugriff auf Daten oder das Einschleusen von Schadcode. Setzt oft ein Konto mit geringen Rechten voraus, etwa einen Abonnenten. Aktualisiere so schnell wie möglich.
-
Mittel
CVSS 4,0 bis 6,9Nur unter bestimmten Bedingungen ausnutzbar, zum Beispiel wenn ein angemeldeter Benutzer auf einen präparierten Link klickt. Plane das Update für dein nächstes Wartungsfenster ein.
-
Niedrig
CVSS 0,1 bis 3,9Begrenzte Auswirkungen oder schwer auszunutzen. Kein Grund zur Panik, erledigt sich aber mit dem nächsten regulären Plugin-Update.
So liest du das Scan-Ergebnis
Der Report trennt klar zwischen dem, was sicher ist, und dem, was es nicht ist
- Betroffen
- Die installierte Version wurde bestätigt und für genau diese Version ist eine Sicherheitslücke dokumentiert. Der Report zeigt Schweregrad, CVSS-Wert, die Version, in der die Lücke behoben ist, und einen Link zum Eintrag.
- Möglicherweise betroffen
- Für das Plugin ist eine Sicherheitslücke dokumentiert, die installierte Version ließ sich aber nicht zweifelsfrei ermitteln. Der Fund erscheint als Warnung, damit du die Version selbst prüfen kannst.
- Hinweis ohne praktische Auswirkung
- Manche Einträge in der Datenbank beschreiben Probleme mit äußerst begrenzten oder gar keinen Auswirkungen in der Praxis. Sie werden der Vollständigkeit halber aufgeführt, fließen aber nicht in die Bewertung deiner Website ein.
- Nicht prüfbar
- Lässt sich für Plugins, Theme oder WordPress keine Version erkennen, sagt der Report das offen, statt null Sicherheitslücken zu melden. Ein Scan ohne Versionen ist kein sauberes Ergebnis.
Was ist im kostenlosen Report enthalten?
Der kostenlose Report erkennt deine Plugins und dein Theme und warnt dich vor nicht mehr weiterentwickelten Plugins, vor Plugins, die aus dem WordPress-Plugin-Verzeichnis entfernt wurden, und vor einer veralteten WordPress-Version. Plugin-Versionen und der Abgleich von Plugins, Theme und WordPress mit der Schwachstellendatenbank sind in den Tarifen Premium und Agency enthalten.
Finde verwundbare WordPress-Plugins, bevor Angreifer es tun
Die meisten gehackten WordPress-Websites wurden nicht über WordPress selbst geknackt, sondern über ein Plugin mit einer öffentlich dokumentierten Sicherheitslücke. Der InspectWP Schwachstellen-Scanner lädt deine Seite so, wie ein Besucher sie aufruft, erkennt die darauf aktiven Plugins und ermittelt, welche Version installiert ist. Jede erkannte Version wird anschließend mit der Schwachstellendatenbank von Wordfence Intelligence abgeglichen. Zu jedem Treffer siehst du den Schweregrad, den CVSS-Wert und die Version, die die Lücke schließt. So weißt du genau, welches Update zuerst dran ist.
Wie zuverlässig ist ein Schwachstellen-Scan von außen?
Ein Scan von außen sieht nur, was deine Website preisgibt. InspectWP liest die Plugin-Version deshalb aus mehreren unabhängigen Quellen, zum Beispiel aus der readme.txt, dem Changelog, Versionskennungen im HTML und der Skript-Konfiguration. Stimmen mindestens zwei Quellen überein, gilt die Version als bestätigt und ein Treffer wird als betroffen gemeldet. Gibt es nur eine Quelle, meldet der Report möglicherweise betroffen, statt Gewissheit zu behaupten. Plugins, die auf der geprüften Seite nichts laden, bleiben von außen unsichtbar. Verbindest du deine Website mit dem InspectWP WordPress-Plugin, arbeitet der Scanner mit der vollständigen Plugin-Liste und den exakten Versionen.
Tausende Website-Betreiber vertrauen auf InspectWP
Die Zahlen sprechen für sich
Häufige Fragen zum WordPress Schwachstellen-Scanner
Was der Scan abdeckt, wo seine Grenzen liegen und was du mit den Ergebnissen anfängst
Weitere passende Checks
Diese Tools helfen dir bei verwandten Themen
- DSGVO Check
- WordPress Security Check
- HTTP Security Header Checker
- Hosting Checker
- Webfont Checker
- Favicon Checker
- DNS Records Checker
- Alt-Tag Checker
- Sitemap Checker
- Open Graph Checker
- SPF & DMARC Checker
- Barrierefreiheit-Check
- Page Builder Detector
- Mixed Content Checker
- Cookie Checker
- PHP Version Checker