Ihr WordPress-Dashboard meldet, dass alles auf dem neuesten Stand ist. Der Core läuft in der aktuellen Version, das Theme sieht gut aus und die Website lädt schnell. Und doch kann ein einziges vergessenes Plugin genau die offene Tür sein, die ein Angreifer braucht.
Deshalb haben wir für das cPanel-Hosting von WebGee den CMS-Threats-Scan und wöchentliche Benachrichtigungen in cPGuard aktiviert. cPGuard prüft jetzt jede WordPress-, Joomla- und Drupal-Installation in Ihrem Konto auf bekannte Sicherheitslücken und sagt Ihnen genau, welches Plugin oder Theme Ihre Aufmerksamkeit braucht – bevor jemand anderes es findet.
Das Wichtigste
- Die meisten Einbrüche in WordPress-Websites erfolgen über ein veraltetes oder nicht mehr gepflegtes Plugin, nicht über den WordPress-Core.
- cPGuard prüft auf dem cPanel-Hosting von WebGee jetzt jede WordPress-, Joomla- und Drupal-Website auf bekannte Sicherheitslücken und schickt Ihnen wöchentlich einen Bericht per E-Mail.
- „Status: latest“ bezieht sich nur auf den Core; die CVE-Spalte zeigt das riskanteste Plugin oder Theme.
- Ein Plugin zu deaktivieren schützt Sie nicht. Löschen Sie alles, was Sie nicht nutzen.
- Erstellen Sie ein Backup, aktualisieren oder ersetzen Sie die markierten Elemente und prüfen Sie anschließend, ob sie in cPGuard als „Safe“ angezeigt werden.
In dieser Anleitung
- Warum meist Plugins und nicht WordPress selbst das Einfallstor sind
- Was Ihnen die neue wöchentliche E-Mail von cPGuard verrät
- Wie Sie das anfällige Plugin in cPanel in weniger als einer Minute finden
- Wie Sie es sicher beheben und prüfen, ob es funktioniert hat
Warum Plugins die Schwachstelle sind
Der WordPress-Core wird von einem großen Sicherheitsteam gepflegt und aktualisiert sich bei kleineren Versionen selbst. Bei Plugins und Themes sieht das anders aus. Eine typische Website nutzt ein Dutzend oder mehr davon, geschrieben von unterschiedlichen Entwicklern und nach unterschiedlichen Zeitplänen aktualisiert – und manche werden gar nicht mehr gepflegt.
Wird eine Sicherheitslücke in einem beliebten Plugin veröffentlicht, durchsuchen automatisierte Bots das Internet nach Websites, die noch die alte Version verwenden – oft schon innerhalb weniger Stunden. Wie groß Ihre Website ist, spielt für sie keine Rolle. Liegt die anfällige Datei auf Ihrem Server, versuchen sie es.
Die häufigste Falle ist ein Plugin, das Sie gar nicht nutzen. Ein Plugin zu deaktivieren schützt Sie nicht: Seine Dateien bleiben auf dem Server und sind weiterhin direkt erreichbar – und genau so werden die meisten dieser Sicherheitslücken ausgenutzt.
„Aktuell“ heißt nicht „sicher“ Eine Website kann die neueste WordPress-Version nutzen und trotzdem eine hochriskante Sicherheitslücke in einem Plugin haben. cPGuard zeigt beides getrennt an, sodass Sie den Unterschied auf einen Blick erkennen.
Was cPGuard jetzt für Sie erledigt
cPGuard ist die Sicherheitslösung, die im cPanel-Hosting von WebGee integriert ist. Neben dem Malware-Scan und der Web Application Firewall führt sie jetzt einen CMS Threats-Scan über Ihr gesamtes Konto aus:
- Sie findet jede WordPress-, Joomla- und Drupal-Installation, auch alte Kopien und vergessene Staging-Ordner.
- Sie prüft den Core, jedes Plugin und jedes Theme auf veröffentlichte Sicherheitslücken (CVEs).
- Sie sucht nach schädlichen Dateien innerhalb der Installation und nach infizierten Inhalten in deren Datenbank.
- Sie schickt Ihnen jede Woche eine Zusammenfassung per E-Mail mit dem Betreff Threats to CMS installations detected.
Das gilt für Shared-, Reseller- und Premium-Hosting mit cPanel – Sie müssen nichts installieren oder aktivieren.
So lesen Sie die wöchentliche E-Mail
Die vier Zahlen oben zählen Probleme in Ihrem gesamten Konto:
- Critical CMS Issues – Installationen mit mindestens einer bekannten Sicherheitslücke.
- Updates Pending – Installationen, deren Core-Version veraltet ist.
- CMS threats – schädliche Dateien, die in einer Installation gefunden wurden.
- Database infections – schädliche Inhalte, die in der Datenbank einer Installation gefunden wurden.
Darunter listet eine Tabelle jede betroffene Website auf. Zwei Spalten werden dabei leicht verwechselt. Status bezieht sich nur auf den CMS-Core: latest bedeutet, dass WordPress selbst aktuell ist. CVE zeigt die schwerwiegendste bekannte Sicherheitslücke in der gesamten Installation, meist in einem Plugin oder Theme. Der Wert reicht bis 10: 4.0–6.9 ist Medium, 7.0–8.9 ist High und ab 9.0 ist Critical.
Eine Zeile mit latest neben High, 7.5 ist also kein Widerspruch. Ihr Core ist aktuell, aber etwas, das darauf installiert ist, hat eine veröffentlichte Sicherheitslücke.
Wenn „CMS threats“ oder „Database infections“ über null liegt Die Website ist dann bereits infiziert und nicht nur angreifbar. Überspringen Sie die Updates und bereinigen Sie die Website sofort – oder eröffnen Sie ein Ticket, und unsere Techniker helfen Ihnen.
Das anfällige Plugin in cPanel finden
- Geben Sie in cPanel cPGuard in das Feld „Search Tools“ ein und öffnen Sie es.
- Wählen Sie CMS Threats.
- Suchen Sie die Installation aus der E-Mail. CVE zeigt ihren schlechtesten Wert, Plugins zeigt, wie viele veraltet sind, und Issues zählt alles, was cPGuard gefunden hat.
- Wählen Sie die Installation aus, um die CMS Details zu öffnen, und gehen Sie die Tabs durch: Plugins, Themes, Core issues und Threats.
In den Tabs Plugins und Themes ist eine rot dargestellte Version mit yes unter Update available veraltet. Ein Wert in der CVE-Spalte anstelle von Safe ist die Sicherheitslücke, die in der E-Mail gemeldet wurde. Notieren Sie sich den Namen.
Sicher beheben
Erstellen Sie zuerst ein Backup. Bei WebGee finden Sie tägliche JetBackup-Snapshots bereits in cPanel, aber ein frisches Backup dauert nur Sekunden und macht jedes Update leicht rückgängig.
- Melden Sie sich unter
/wp-adminin Ihrem WordPress-Adminbereich an und öffnen Sie Dashboard › Aktualisierungen. - Aktualisieren Sie jedes Plugin und Theme, das Sie sich in cPGuard notiert haben.
- Hat ein Element einen CVE-Wert, aber es ist kein Update verfügbar, hat der Entwickler die Lücke noch nicht geschlossen. Deaktivieren Sie es, löschen Sie es und ersetzen Sie es durch eine gepflegte Alternative.
- Löschen Sie alle Plugins und Themes, die Sie nicht mehr nutzen, auch inaktive.
# Prefer the command line? With SSH access, WP-CLI does the same in seconds:
wp plugin list --update=available
wp plugin update --all
# Remove a plugin you no longer use (deactivating is not enough)
wp plugin delete old-slider-pluginPrüfen, ob es funktioniert hat
- In WordPress zeigt die Seite „Aktualisierungen“ keine ausstehenden Updates mehr an.
- Öffnen Sie in cPGuard › CMS Threats die Installation erneut. Die aktualisierten Elemente zeigen jetzt Safe in der CVE-Spalte.
cPGuard prüft Installationen nach einem eigenen Zeitplan erneut, daher kann es eine Weile dauern, bis die Seite auf dem neuesten Stand ist. In Ihrer nächsten wöchentlichen E-Mail sollte die Website nicht mehr erscheinen.
Wird sie noch angezeigt?
- Sie erkennen die Installation nicht. Auch alte Kopien wie
public_html/oldoder ein vergessener Staging-Ordner werden gescannt – und sind ein häufiges Einfallstor. Wenn Sie die Kopie nicht mehr brauchen, löschen Sie ihren Ordner und ihre Datenbank. - Das Update schlägt fehl. Das Plugin benötigt möglicherweise eine neuere PHP-Version, die Sie in cPanel pro Website umstellen können.
- Alles zeigt „Safe“, aber die E-Mail kommt weiterhin. Eröffnen Sie ein Ticket mit Ihrer Support-PIN und dem Installationspfad, und wir sehen es uns gemeinsam mit Ihnen an.
Sicherheit, die arbeitet, während Sie sich um Ihr Geschäft kümmern
Die meisten Websitebetreiber haben keine Zeit, die Schwachstellenmeldungen zu jedem installierten Plugin zu verfolgen. Mit dem CMS-Threats-Scan müssen Sie das auch nicht: cPGuard überwacht Ihre Installationen und meldet sich, sobald etwas Ihre Aufmerksamkeit braucht – mit klaren Zahlen und genau dem Plugin, das Sie aktualisieren müssen.
Das kommt zu allem hinzu, was im cPanel-Hosting von WebGee bereits enthalten ist: LiteSpeed-Geschwindigkeit, kostenloses SSL, tägliche Backups, Malware-Scans und echte Techniker im Live-Chat, rund um die Uhr.
Häufige Fragen
Welche WebGee-Tarife umfassen den CMS-Threats-Scan von cPGuard?
Er gilt für WordPress-, Joomla- und Drupal-Websites auf dem Shared-, Reseller- und Premium-Hosting von WebGee mit cPanel. Sie müssen nichts installieren oder aktivieren.
Wie oft prüft cPGuard meine WordPress-Website?
cPGuard prüft Ihre Installationen nach einem eigenen Zeitplan erneut und schickt Ihnen jede Woche eine Zusammenfassung per E-Mail mit dem Betreff „Threats to CMS installations detected“.
In meiner E-Mail steht „Status: latest“, aber „CVE: High“. Ist meine Website sicher?
Der Status bezieht sich nur auf den WordPress-Core. Die CVE-Spalte zeigt die schwerwiegendste Sicherheitslücke in der gesamten Installation, meist in einem Plugin oder Theme. Öffnen Sie in cPanel cPGuard › CMS Threats, um zu sehen, um welches es sich handelt, und aktualisieren oder entfernen Sie es dann.
Reicht es, ein anfälliges Plugin zu deaktivieren?
Nein. Die Dateien eines deaktivierten Plugins bleiben auf dem Server und sind weiterhin direkt erreichbar. Wenn Sie ein Plugin nicht nutzen, löschen Sie es.
Was tun, wenn für ein anfälliges Plugin kein Update verfügbar ist?
Dann hat der Entwickler die Lücke noch nicht geschlossen. Deaktivieren und löschen Sie das Plugin und ersetzen Sie es durch eine Alternative, die aktiv gepflegt wird.
