Wer auf seiner WordPress-Seite Videos einbettet, sollte JETZT genau hinsehen: In das beliebte Plugin Advanced Responsive Video Embedder (kurz ARVE) wurde eine Backdoor eingeschmuggelt. Sie steckt in Version 10.8.7 und erlaubt Angreifern mit einer einzigen präparierten Anfrage die komplette Übernahme deiner Seite. Rund 20.000 Websites sind gefährdet.
GEFAHR: Eine Anfrage, volle Kontrolle
Das Tückische an dieser Lücke (offiziell CVE-2026-18072, CVSS-Score 9,8 von 10): Der Schadcode versteckt sich in einer Datei namens php/fn-update-check.php. Deren Funktion läuft ganz früh im WordPress-Ablauf — noch bevor die normale Anmeldeprüfung greift. Ein Angreifer muss also kein Passwort knacken und keinen Admin austricksen. Ein einziger HTTP-Request mit einem fest eingebauten Token genügt, und die Seite gehört ihm.
SUPPLY-CHAIN: So kam die Backdoor rein
Das ist kein klassischer Programmierfehler, sondern ein gezielter Angriff auf die Lieferkette. Der Schadcode wurde bewusst in eine offizielle Plugin-Version eingebaut und verteilt. Entdeckt hat ihn der Wordfence PRISM-Dienst am 28. Juli — keine zwei Stunden nachdem der Code veröffentlicht wurde. Wordfence meldete den Fund sofort dem WordPress.org-Team, das das Plugin-Verzeichnis noch am selben Tag für Downloads sperrte.
So schützt du deine Seite in 5 MINUTEN
Handle jetzt der Reihe nach: Erstens im WordPress-Backend unter Plugins prüfen, ob „Advanced Responsive Video Embedder“ installiert ist und welche Version läuft. Zweitens: Ist es die 10.8.7, das Plugin sofort deaktivieren und entfernen. Drittens: Alle Admin-Passwörter ändern und aktive Sitzungen beenden. Viertens: Nach unbekannten Benutzerkonten und fremden Dateien im Plugin-Ordner suchen. Erst wenn eine saubere, geprüfte Version erscheint, solltest du ARVE wieder installieren.