Websites auf Basis von WordPress und Joomla stehen aktuell verstärkt im Visier von Cyberkriminellen. Sicherheitsforscher und Behörden wie die US-amerikanische CISA melden mehrere kritische Schwachstellen, die bereits aktiv ausgenutzt werden.
Betroffen sind unter anderem das bei Joomla weit verbreitete Template-Framework Astroid (CVE-2026-21628) sowie der Content-Editor JCE (CVE-2026-48907), beide mit dem höchstmöglichen CVSS-Risikowert von 10,0 bewertet. Parallel berichtet der Sicherheitsdienstleister Sansec von einer Kampagne gegen mehr als eine Million WordPress-Websites.
Die Zahlen des Sicherheitsspezialisten Patchstack unterstreichen das Ausmaß: Allein im WordPress-Ökosystem wurden 2025 rund 11.334 neue Sicherheitslücken bekannt, ein Anstieg von 42 Prozent gegenüber dem Vorjahr. 91 Prozent dieser Schwachstellen stecken in Plugins und Themes, nicht im WordPress-Kern selbst.
Besonders kritisch: Angreifer nutzen neu veröffentlichte Lücken laut Patchstack teils innerhalb weniger Stunden aus, während fast die Hälfte der Schwachstellen zum Zeitpunkt der Veröffentlichung noch ohne verfügbaren Patch ist.
„Die Angriffswellen demonstrieren eindrücklich, was wir in unserer täglichen Arbeit in der Webentwicklung seit Monaten beobachten", erklärt Holger Rückert, Mitinhaber und Geschäftsführer von formativ.net. „Das Risiko für den Betrieb von Websites und Webapplikationen steigt. Ein Malwarebefall ist jedoch kein reines IT-Problem. Er ist ein betrieblicher Notfall, für den Technik, Verantwortlichkeiten und Entscheidungen vorbereitet sein sollten. Genau daran scheitert es in der Praxis am häufigsten."
Drei organisatorische Lücken verzögern die Wiederherstellung
Nach Erfahrung der Digitalisierungsexperten von formativ.net entscheiden meist drei Faktoren darüber, wie lange ein Sicherheitsvorfall ein Unternehmen tatsächlich lähmt: unzureichend getestete Backups, unklare Zuständigkeiten für Zugänge und Entscheidungen sowie eine unvollständige Beseitigung der eigentlichen Ursache. Ein Backup, das nie zurückgespielt wurde, erweist sich im Ernstfall oft als wertlos. Fehlen zudem klare Verantwortlichkeiten für die notwendigen Entscheidungen oder gar der direkte Zugriff auf Hosting, Domain und CMS, verzögert sich die Reaktion zusätzlich.
Aktuelle Studiendaten bestätigen den Handlungsbedarf: Laut Patchstack verfügen nur 27 Prozent der untersuchten Website-Betreiber über einen dokumentierten Notfallplan für Sicherheitsvorfälle. Die übrigen 73 Prozent improvisieren im Ernstfall. Sie verlieren damit wertvolle Zeit, in der Vertrauen, Umsatz und im schlimmsten Fall Kundendaten auf dem Spiel stehen.
Fünf-Schritte-Plan für die ersten Stunden
formativ.net hat auf Basis zahlreicher Wiederherstellungsprojekte einen praxisnahen Notfallplan veröffentlicht. Er beschreibt, wie Unternehmen im Ernstfall vorgehen sollten:
Vorfall dokumentieren und Zuständigkeit festlegen, Schaden begrenzen, Zugänge absichern, einen vertrauenswürdigen Wiederherstellungspunkt bestimmen und die Ursache dauerhaft schließen.
Ergänzend liefert eine Checkliste für Geschäftsführung und IT-Leitung acht zentrale Fragen, mit denen sich die eigene Vorsorge realistisch einschätzen lässt.
Der vollständige Beitrag mit Sofortmaßnahmen und Checkliste ist im formativ.net-Blog verfügbar: https://www.formativ.net/blog/website-gehackt-notfallplan-backup
Tag-It: Website gehackt, WordPress Sicherheitslücke, Joomla Sicherheitslücke, Hackerangriff Website, WordPress Hack Notfallplan, Joomla Astroid Lücke, CVE-2026-21628, CVE-2026-48907, Website-Backup Notfall, Malware Website entfernen, IT-Sicherheit Mittelstand, Website-Wartung Sicherheit
Betroffen sind unter anderem das bei Joomla weit verbreitete Template-Framework Astroid (CVE-2026-21628) sowie der Content-Editor JCE (CVE-2026-48907), beide mit dem höchstmöglichen CVSS-Risikowert von 10,0 bewertet. Parallel berichtet der Sicherheitsdienstleister Sansec von einer Kampagne gegen mehr als eine Million WordPress-Websites.
Die Zahlen des Sicherheitsspezialisten Patchstack unterstreichen das Ausmaß: Allein im WordPress-Ökosystem wurden 2025 rund 11.334 neue Sicherheitslücken bekannt, ein Anstieg von 42 Prozent gegenüber dem Vorjahr. 91 Prozent dieser Schwachstellen stecken in Plugins und Themes, nicht im WordPress-Kern selbst.
Besonders kritisch: Angreifer nutzen neu veröffentlichte Lücken laut Patchstack teils innerhalb weniger Stunden aus, während fast die Hälfte der Schwachstellen zum Zeitpunkt der Veröffentlichung noch ohne verfügbaren Patch ist.
„Die Angriffswellen demonstrieren eindrücklich, was wir in unserer täglichen Arbeit in der Webentwicklung seit Monaten beobachten", erklärt Holger Rückert, Mitinhaber und Geschäftsführer von formativ.net. „Das Risiko für den Betrieb von Websites und Webapplikationen steigt. Ein Malwarebefall ist jedoch kein reines IT-Problem. Er ist ein betrieblicher Notfall, für den Technik, Verantwortlichkeiten und Entscheidungen vorbereitet sein sollten. Genau daran scheitert es in der Praxis am häufigsten."
Drei organisatorische Lücken verzögern die Wiederherstellung
Nach Erfahrung der Digitalisierungsexperten von formativ.net entscheiden meist drei Faktoren darüber, wie lange ein Sicherheitsvorfall ein Unternehmen tatsächlich lähmt: unzureichend getestete Backups, unklare Zuständigkeiten für Zugänge und Entscheidungen sowie eine unvollständige Beseitigung der eigentlichen Ursache. Ein Backup, das nie zurückgespielt wurde, erweist sich im Ernstfall oft als wertlos. Fehlen zudem klare Verantwortlichkeiten für die notwendigen Entscheidungen oder gar der direkte Zugriff auf Hosting, Domain und CMS, verzögert sich die Reaktion zusätzlich.
Aktuelle Studiendaten bestätigen den Handlungsbedarf: Laut Patchstack verfügen nur 27 Prozent der untersuchten Website-Betreiber über einen dokumentierten Notfallplan für Sicherheitsvorfälle. Die übrigen 73 Prozent improvisieren im Ernstfall. Sie verlieren damit wertvolle Zeit, in der Vertrauen, Umsatz und im schlimmsten Fall Kundendaten auf dem Spiel stehen.
Fünf-Schritte-Plan für die ersten Stunden
formativ.net hat auf Basis zahlreicher Wiederherstellungsprojekte einen praxisnahen Notfallplan veröffentlicht. Er beschreibt, wie Unternehmen im Ernstfall vorgehen sollten:
Vorfall dokumentieren und Zuständigkeit festlegen, Schaden begrenzen, Zugänge absichern, einen vertrauenswürdigen Wiederherstellungspunkt bestimmen und die Ursache dauerhaft schließen.
Ergänzend liefert eine Checkliste für Geschäftsführung und IT-Leitung acht zentrale Fragen, mit denen sich die eigene Vorsorge realistisch einschätzen lässt.
Der vollständige Beitrag mit Sofortmaßnahmen und Checkliste ist im formativ.net-Blog verfügbar: https://www.formativ.net/blog/website-gehackt-notfallplan-backup
Tag-It: Website gehackt, WordPress Sicherheitslücke, Joomla Sicherheitslücke, Hackerangriff Website, WordPress Hack Notfallplan, Joomla Astroid Lücke, CVE-2026-21628, CVE-2026-48907, Website-Backup Notfall, Malware Website entfernen, IT-Sicherheit Mittelstand, Website-Wartung Sicherheit
