Das Wichtigste in Kürze
- In einem beliebten WordPress-Plugin namens Gravity SMTP steckte eine Lücke (CVE-2026-4020). Fremde konnten ohne Login interne Zugangsdaten auslesen.
- Der Hersteller hatte den Fehler schon am 17. März 2026 behoben. Wer das Update einspielte, war geschützt.
- Trotzdem stiegen die Angriffe Monate später stark an. Laut dem Sicherheitsdienst Wordfence gab es über 17 Millionen Angriffsversuche, die Spitze am 7. Juni 2026.
- Der Grund: Viele der rund 100.000 betroffenen Seiten hatten das Update nie eingespielt. Die offene Tür blieb offen.
- Die Lehre ist kein Grund zur Panik, sondern eine einfache Routine: Updates zeitnah einspielen und wissen, welche Plugins laufen. Das schützt dich vor genau dieser Art Angriff.
Stell dir vor, der Schlüsseldienst hat ein neues, sicheres Schloss für deine Haustür. Kostenlos, schon eingebaut. Du musst es nur scharf schalten. Und viele tun es nicht.
Genau das ist im Juni 2026 mit Zehntausenden WordPress-Seiten passiert. Ein Sicherheits-Update lag seit März bereit. Eingespielt hatten es viele nie. Drei Monate später liefen die Angriffe heiß.
In diesem Beitrag erklären wir ruhig, was vorgefallen ist. Und was du daraus für deine eigene Website mitnimmst. Ohne Fachchinesisch, ohne Angstmache.
Was genau passiert ist
Viele Firmen-Websites laufen auf WordPress. Das ist das System hinter der Website, mit dem du Texte und Bilder pflegst. WordPress selbst ist nur der Kern. Den Rest übernehmen Plugins.
Ein Plugin ist eine kleine Zusatz-Software. Sie steckt Funktionen an deine Website, zum Beispiel ein Kontaktformular oder den Mail-Versand. Genau so ein Mail-Plugin heißt Gravity SMTP. Es kümmert sich darum, dass E-Mails deiner Website zuverlässig ankommen.
In diesem Plugin steckte ein Fehler. Eine bestimmte Schnittstelle (eine Art Service-Klappe im Programmcode) prüfte nicht, wer anklopft. Sie antwortete jedem. Auch Fremden ohne Login.
Über diese offene Klappe konnten Angreifer interne Daten abgreifen. Darunter Zugangsdaten für den Mail-Versand, sogenannte API-Schlüssel und Zugangs-Token. Das sind im Grunde digitale Passwörter, mit denen Dienste sich gegenseitig vertrauen. In falschen Händen sind sie bares Geld wert.
Warum der Patch allein nicht gereicht hat
Hier kommt der Teil, der den Fall lehrreich macht.
Der Hersteller hat den Fehler schnell behoben. Die reparierte Version 2.1.5 war seit dem 17. März 2026 verfügbar. Die offizielle Warnung (CVE-2026-4020) folgte am 30. März. Wer in dieser Zeit sein Plugin aktualisierte, hatte die Klappe wieder zu.
Das Problem war nicht der fehlende Patch. Das Problem war das fehlende Einspielen.
Ein Update schützt dich erst, wenn es installiert ist. Liegt es nur bereit, passiert nichts. Die Lücke bleibt offen, als hätte es den Fix nie gegeben.
Genau das nutzten die Angreifer aus. Sie scannten das Netz nach Seiten mit der alten Version. Laut dem Sicherheitsdienst Wordfence wurden über 17 Millionen Angriffsversuche blockiert. Allein am 7. Juni waren es rund 4 Millionen an einem Tag. Drei Monate nach dem Fix.
Die Lehre, die wir daraus ziehen: Ein Patch ist ein Angebot, kein Schutz. Den Schutz machst erst du, wenn du ihn einspielst.
Was das mit deinen Plugins zu tun hat
Du denkst vielleicht: Ein Einzelfall, betrifft mich nicht. Die Zahlen sagen etwas anderes.
Der Sicherheitsanbieter Patchstack wertet jedes Jahr alle bekannten WordPress-Lücken aus. Sein Bericht für 2026 zeichnet ein klares Bild. Die wichtigsten Werte aus dem Jahr 2025:
| Kennzahl | Wert | Was es bedeutet |
|---|---|---|
| Neue Lücken im WordPress-Umfeld | 11.334 | Sicherheitslücken kommen laufend, nicht selten |
| Anteil in Plugins | 91 % | Fast jede Lücke steckt in einem Zusatz-Plugin, nicht im Kern |
| Ohne Fix bei Bekanntgabe | 46 % | Knapp die Hälfte hat anfangs keinen Patch |
| Median bis zur ersten Massenausnutzung | 5 Stunden | Bei stark angegriffenen Lücken bleibt kaum Zeit |
Zwei Dinge springen heraus.
Erstens: Die Gefahr sitzt fast immer in den Plugins. 91 Prozent. Je mehr Plugins du nutzt, desto mehr Türen hat deine Website. Der WordPress-Kern selbst ist selten das Problem.
Zweitens: Tempo zählt. Bei den am stärksten angegriffenen Lücken vergehen im Mittel nur fünf Stunden bis zur ersten breiten Angriffswelle. Wer erst nach Wochen aktualisiert, ist im Zweifel zu spät.
Das klingt unangenehm. Es ist aber auch eine gute Nachricht. Denn der wirksamste Hebel ist nichts Kompliziertes. Es ist eine Gewohnheit.
Die Routine, die wirklich schützt
Du brauchst kein Sicherheitsstudium. Du brauchst einen festen Ablauf. So sieht er aus.
- Verschaff dir einen Überblick. Schreib auf, welche Plugins auf deiner Seite laufen. Du findest die Liste im WordPress-Adminbereich unter "Plugins". Was du nicht kennst, gehört geprüft.
- Wirf raus, was du nicht brauchst. Jedes Plugin ist eine zusätzliche Tür. Plugins, die du nicht nutzt, deaktivierst und löschst du. Weniger Türen, weniger Risiko.
- Spiel Updates zeitnah ein. Nicht irgendwann, sondern in Tagen, nicht Monaten. Sicherheits-Updates haben Vorrang vor allem anderen.
- Mach vorher ein Backup. Ein Backup ist eine vollständige Kopie deiner Website. Geht beim Update etwas schief, spielst du die Kopie zurück.
- Leg eine feste Zuständigkeit fest. Jemand muss verantwortlich sein. Du selbst, eine interne Person oder ein externer Partner. Updates, die niemandem gehören, passieren nicht.
Wichtig zur Ehrlichkeit: Keine Website ist jemals völlig sicher. Auch eine gepflegte Seite kann getroffen werden. Aber du machst dich vom leichten Ziel zum unbequemen. Und genau das suchen automatische Angriffe nicht.
Wenn du das technisch nicht selbst machen willst, kannst du [deine WordPress-Plugins auf bekannte Lücken prüfen lassen]. Auch hier gilt: Das Prüfen ist der Anfang, das Einspielen der Schutz.
Was wir in der Wartung sehen
Ein offenes Wort aus der Praxis. Wir betreuen Websites seit 2007. Der Gravity-SMTP-Fall ist für uns kein Sonderfall, sondern ein Muster.
Das häufigste Bild: Eine Seite läuft jahrelang. Niemand fasst sie an. "Läuft doch" ist die Devise. Bis ein Plugin mit einer offenen Lücke zum Einfallstor wird. Dann ist die Aufregung groß, und die Reparatur kostet mehr als die Pflege gekostet hätte.
Was wir daraus gelernt haben: Updates sind langweilig, und genau deshalb werden sie vergessen. Die Lösung ist kein größeres Werkzeug. Es ist ein fester Termin und eine klare Zuständigkeit.
Fazit
Der Gravity-SMTP-Fall ist keine Geschichte über geniale Hacker. Es ist eine Geschichte über offene Türen, die offen blieben, obwohl der Schlüssel schon da war.
Die gute Nachricht: Du brauchst keine Angst und kein teures Spezial-Paket. Du brauchst einen Überblick über deine Plugins, zeitnahe Updates und eine klare Zuständigkeit. Das schützt dich vor der mit Abstand häufigsten Angriffsart auf WordPress.
Du weißt nicht, welche Plugins auf deiner Seite laufen und ob sie aktuell sind? Genau das lässt sich in einem kurzen Check klären.
Häufige Fragen
Was war die Gravity-SMTP-Lücke (CVE-2026-4020) genau?
Gravity SMTP ist ein WordPress-Plugin für den E-Mail-Versand. Eine Schnittstelle im Plugin prüfte nicht, wer sie aufruft. Dadurch konnten Fremde ohne Login interne Daten auslesen, darunter Zugangsdaten und digitale Schlüssel für den Mail-Versand. Der Hersteller hat den Fehler in Version 2.1.5 am 17. März 2026 behoben.
Bin ich betroffen, wenn ich das Plugin nutze?
Betroffen waren Seiten mit einer Version vor 2.1.5. Wer auf 2.1.5 oder neuer aktualisiert hat, ist gegen diese Lücke geschützt. Prüfe im WordPress-Adminbereich unter "Plugins", welche Version bei dir installiert ist, und aktualisiere, falls nötig.
Warum gab es Angriffe, obwohl es längst einen Patch gab?
Ein Patch wirkt erst, wenn er eingespielt ist. Viele Seiten hatten das Update nie installiert. Angreifer suchten gezielt nach diesen veralteten Versionen. Deshalb stiegen die Angriffe laut Wordfence noch im Juni stark an, Monate nach dem Fix.
Wie schütze ich meine WordPress-Seite grundsätzlich?
Mit einer festen Routine: Überblick über alle Plugins, Nicht-Genutztes löschen, Sicherheits-Updates zeitnah einspielen, vorher ein Backup machen und eine klare Zuständigkeit festlegen. Laut Patchstack stecken 91 Prozent der Lücken in Plugins. Genau dort lohnt die Pflege am meisten.
Reicht es, einmal im Jahr zu aktualisieren?
Nein. Laut Patchstack vergehen bei stark angegriffenen Lücken im Mittel nur fünf Stunden bis zur ersten Angriffswelle. Sicherheits-Updates gehören zeitnah eingespielt, also in Tagen, nicht in Monaten. Ein fester, regelmäßiger Termin ist sinnvoller als eine jährliche Aktion.
Quellen
- Patchstack-Datenbank: Gravity SMTP <= 2.1.4 Unauthenticated Sensitive Information Exposure via REST API. patchstack.com
- NVD: CVE-2026-4020, veröffentlicht 30.03.2026. nvd.nist.gov
- Patchstack: State of WordPress Security in 2026. patchstack.com
- heise online: Patch now! Attacks on WordPress websites with Gravity-SMTP plugin. heise.de