WordPress: Das Problem ist nicht das Plugin,
sondern die Architektur

Die CVE-2026-3098: eine halbe Million Websites betroffen

Am 29. März 2026 veröffentlichte BleepingComputer Details zur CVE-2026-3098, einer Sicherheitslücke im WordPress-Plugin Smart Slider 3. Das Plugin ist auf über 500.000 Websites weltweit installiert.

Es handelt sich um eine Arbitrary File Read-Schwachstelle: Ein authentifizierter Benutzer, selbst mit der niedrigsten von WordPress vorgesehenen Rolle (Subscriber), kann jede Datei auf dem Server lesen. Man muss weder Administrator noch Entwickler noch ein versierter Angreifer sein.

Das Hauptziel ist die Datei wp-config.php, die die Datenbank-Zugangsdaten, die Sicherheitsschlüssel und die Konfigurationsparameter der Website enthält. Wer diese Datei erhält, hat die Schlüssel zur gesamten Installation: Datenbank, Inhalte, Administrator-Konten — alles.

Kein Einzelfall: ein strukturelles Muster

Die CVE-2026-3098 ist keine Ausnahme. WordPress macht 43 % aller Websites weltweit und 90 % aller kompromittierten CMS aus. Das Problem ist nicht ein einzelnes verwundbares Plugin: Es ist die Architektur selbst.

• Exponierte Datenbank— jede WordPress-Installation verfügt über eine MySQL-Datenbank, die vom Server aus erreichbar ist. Die Zugangsdaten liegen in einer Textdatei im Dateisystem.
• Angreifbares Admin-Panel — /wp-administ für jeden erreichbar. Brute-Force-Angriffe, Credential Stuffing und Phishing zielen ständig darauf ab.
• Unkontrolliertes Plugin-Ökosystem— jedes Plugin führt PHP-Code auf dem Server mit denselben Rechten wie die Anwendung aus. Ein verwundbares Plugin kompromittiert die gesamte Website.
• Patching-Trägheit— die Verwaltung ist dezentralisiert, die Betreiber verfügen oft nicht über technisches Fachwissen. Eine bekannte und behobene Sicherheitslücke kann monatelang oder jahrelang ausnutzbar bleiben.

Die Alternative: Architektur wechseln

Die Lösung ist weder ein besseres Hosting noch ein zusätzliches Sicherheits-Plugin. Es ist ein Architekturwechsel: statische, vorgerenderte Websites, verteilt über ein globales CDN, geschützt durch eine Web Application Firewall (WAF) und automatisch deployt.

Eine statische Website hat keine Datenbank, kein CMS, kein Administrationspanel, keine Plugins. Die Angriffsfläche ist nahezu null. Der Inhalt wird zur Build-Zeit generiert und als HTML-Dateien vom nächstgelegenen CDN-Knoten ausgeliefert.

Das ist der Ansatz, den wir für unsere eigene Website verwenden und den wir unseren Kunden mit unserem Managed Hosting anbieten: Azure-Infrastruktur mit App Service oder Static Web Apps, Azure Front Door mit WAF, globalem CDN, automatischen TLS-Zertifikaten und Deployment über GitHub.

Was Sie jetzt tun sollten

Wenn Ihre Website auf WordPress basiert:

• 1Sofort aktualisieren— prüfen Sie, ob Smart Slider 3 auf Version 3.5.1.34 oder höher aktualisiert ist. Aktualisieren Sie alle Plugins und den WordPress-Core.
• 2Benutzer überprüfen— überprüfen Sie die Liste der registrierten Benutzer. Deaktivieren Sie die Registrierung, wenn sie nicht erforderlich ist. Entfernen Sie ungenutzte Konten.
• 3wp-config.php prüfen— wenn Sie eine Kompromittierung vermuten, ändern Sie sofort die Datenbank-Zugangsdaten und die Sicherheitsschlüssel.
• 4Migration prüfen— wenn Ihre Website überwiegend informativ ist (Unternehmens-Website, Landing Page, Blog), sollten Sie die Migration zu einer statischen Architektur in Betracht ziehen. Sie ist sicherer, schneller und kostet weniger Wartung.