Manche Sicherheitslücken sind deshalb besonders unangenehm, weil sie nie mehr geschlossen werden. Das WordPress-Plugin BackupSheep hat jetzt genau so eine: Höchstwertung CVSS 10,0 — und ein Update wird es nicht mehr geben, weil das Plugin seit über einem Jahr tot ist.
DER FEHLER: Ein leerer Schlüssel öffnet alle Türen
Die Lücke trägt die Kennung CVE-2026-101148 und wurde Ende September/Anfang Oktober 2026 öffentlich dokumentiert. Der Kern des Problems: BackupSheep prüft vor sensiblen Aktionen einen Integrationsschlüssel — aber wenn dieser Schlüssel leer oder nicht gesetzt ist, behandelt das Plugin die Anfrage trotzdem als gültig.
Im Klartext: Ein Angreifer, der weder Benutzername noch Passwort noch irgendeinen echten Schlüssel besitzt, kann sich einfach als berechtigt ausgeben — weil niemand geprüft hat, ob überhaupt etwas im Schlüsselfeld steht.
WAS DAMIT MÖGLICH WIRD
Über diesen Weg kann ein Angreifer komplette Backups der Website erzeugen und herunterladen — inklusive der kompletten Datenbank mit allen Passwort-Hashes der Benutzerkonten. Zusätzlich lassen sich beliebige Dateien auf dem Server löschen. Zusammengenommen bedeutet das: vollständiger Datenabfluss und die Möglichkeit, die Seite funktionsunfähig zu machen — ganz ohne Anmeldung, ganz ohne Zutun eines Nutzers.
Genau das spiegelt sich im CVSS-Vektor wider: Vertraulichkeit, Integrität und Verfügbarkeit sind alle drei vollständig betroffen. Mehr geht auf der Skala nicht — daher die volle 10,0.
DAS BESONDERE: Ein Patch wird NIE mehr kommen
Anders als bei den meisten Sicherheitsmeldungen gibt es hier keinen Hinweis auf eine neue Version, die du installieren könntest. Der Grund: BackupSheep wurde bereits im Juli 2024 aus dem offiziellen WordPress-Plugin-Verzeichnis entfernt. Seitdem pflegt niemand mehr den Code — die Lücke betrifft alle Versionen bis einschließlich 1.8, und das wird sich nicht mehr ändern.
Nach aktuellem Stand laufen noch etwa 1.000 aktive Installationen mit diesem Plugin. Das ist im Vergleich zu anderen WordPress-Lücken eine kleine Zahl — für die Betroffenen ändert das aber nichts an der Dringlichkeit.
SO PRÜFST DU DEINE SEITE — in 5 MINUTEN
- Nachsehen: Im WordPress-Dashboard unter
Plugins → Installierte Pluginsnach „BackupSheep“ suchen — auch unter den deaktivierten Plugins, denn auch ein inaktives, aber installiertes Plugin kann in manchen Konfigurationen erreichbar bleiben. - Löschen, nicht nur deaktivieren: Das Plugin vollständig entfernen, nicht nur ausschalten.
- Alternative suchen: Wer Backups über ein externes Tool automatisieren will, sollte auf ein aktiv gepflegtes Plugin aus dem offiziellen Verzeichnis wechseln.
- Passwörter zurücksetzen: Falls das Plugin bereits länger lief und du unsicher bist, ob es schon ausgenutzt wurde, alle WordPress-Benutzerpasswörter vorsorglich neu setzen.
EXTRA-TIPP: Dieser Fall ist ein gutes Beispiel für ein größeres Problem: „Zombie-Plugins“, die längst aus dem Verzeichnis verschwunden sind, aber auf Tausenden Seiten weiterlaufen. Ein regelmäßiger Blick in die Plugin-Liste — auch auf das, was man selbst vergessen hat — gehört zur Grundpflege jeder WordPress-Seite.
FAZIT: Höchstwertung, kleine Zielgruppe, trotzdem ernst
Mit rund 1.000 Installationen ist BackupSheep kein Massenphänomen wie andere WordPress-Lücken dieses Jahr. Aber eine Schwachstelle, die niemals gepatcht wird, bleibt für jede einzelne betroffene Seite dauerhaft offen — bis jemand sie findet und löscht. Genau das ist jetzt der einzige Weg.