Normalerweise ist der Rat bei einer WordPress-Sicherheitslücke einfach: Plugin aktualisieren, fertig. Beim BdThemes-Vorfall, der seit dem 7. August 2026 die Runde macht, hätte das nichts geholfen. Der Angriff läuft komplett über einen fremden Server – am Code auf deiner Website ändert sich nichts [Wordfence, 10.8.2026].
Welche Plugins betroffen sind
Betroffen sind sieben Plugins des Anbieters BdThemes, darunter „Element Pack“ mit über 100.000 aktiven Installationen [The Hacker News, 11.8.2026]:
- Element Pack Addons for Elementor
- Prime Slider Addons for Elementor
- Ultimate Post Kit Addons for Elementor
- Ultimate Store Kit (für WooCommerce, EDD und Elementor)
- Pixel Gallery Addons for Elementor
- Live Copy Paste for Elementor
- Smart Admin Assistant
Die WordPress-Plugin-Redaktion hat alle sieben am 7. beziehungsweise 8. August aus dem Verzeichnis genommen. Wer sie schon installiert hat, findet sie trotzdem noch auf der eigenen Website – nur eben nicht mehr zum Download.
Wie der Angriff funktioniert
Alle sieben Plugins bringen eine kleine Komponente namens „Biggopti“ mit, die im WordPress-Adminbereich Werbebanner des Herstellers anzeigt. Dafür lädt sie eine JSON-Datei von einem Cloud-Speicher des Anbieters nach. Genau dort haben sich die Angreifer eingenistet: Sie haben Schreibzugriff auf diesen Speicher bekommen und die echte JSON-Antwort gegen eine präparierte ausgetauscht [Wordfence, 10.8.2026].
Das Ergebnis: Sobald ein eingeloggter Administrator eine beliebige wp-admin-Seite öffnet, führt der Browser automatisch Schadcode aus. Der lädt im Hintergrund ein zweites Skript nach, das
- über die WordPress-REST-API einen neuen Administrator-Account anlegt,
- eine gefälschte Plugin-Datei herunterlädt und darüber eine Webshell installiert,
- und sich dauerhaft in den „Must-Use“-Plugins der Website einnistet – inklusive eines Backdoor-Logins per URL-Parameter und eines Moduls, das den neuen Account aus der Benutzerliste versteckt [Wordfence, 10.8.2026].
Das Ganze läuft komplett automatisiert und „unsichtbar“ – kein Klick, keine Bestätigung, kein Update nötig. Genau das macht diesen Fall aus meiner Sicht bemerkenswerter als die meisten Plugin-Lücken, über die ich hier schreibe.
Kein Einzelfall: die dritte Welle in wenigen Monaten
BdThemes ist nicht der erste Fall dieser Art. Laut Wordfence hängt die Kontrollserver-Infrastruktur mit zwei früheren Vorfällen zusammen: dem ARVE-Plugin (Advanced Responsive Video Embedder) im Juli und OptinMonster kurz davor [Wordfence, 10.8.2026]. Bei beiden ging es ebenfalls darum, Adminzugriff zu bekommen, ohne dass ein Update nötig war oder der Angriff überhaupt sichtbar wurde. Für mich sieht das nach einem Muster aus: Ein und derselbe Akteur testet offenbar systematisch, welche WordPress-Anbieter sich über kompromittierte Cloud-Infrastruktur statt über den offiziellen Plugin-Code angreifen lassen.
Was du jetzt konkret prüfen solltest
1. Betroffene Plugins identifizieren
Schau in deinem Plugin-Verzeichnis nach, ob eines der sieben oben genannten Plugins installiert ist – auch wenn es gerade deaktiviert ist.
2. Benutzerliste kontrollieren
Die Angreifer nutzen laut Wordfence auffällige Muster: Benutzernamen, die mit „bd_“ beginnen, sowie E-Mail-Adressen auf @wordpress.org. Beides gehört nicht auf eine reguläre Website und ist ein klares Warnsignal [Wordfence, 10.8.2026]. Weil der Schadcode neue Accounts aus der normalen Benutzerliste versteckt, reicht ein Blick über die Oberfläche allein nicht – im Zweifel direkt in der Datenbank nachsehen oder nachsehen lassen.
3. Must-Use-Plugins prüfen
Im Ordner wp-content/mu-plugins/ sollten nur Dateien liegen, die du selbst dort abgelegt hast. Alles Unbekannte ist verdächtig.
4. Betroffene Plugins vorerst deaktivieren
Solange der Hersteller keine bereinigte Version veröffentlicht hat, würde ich die betroffenen Plugins deaktivieren – auch wenn das unbequem ist, weil oft Layout-Elemente daran hängen.
Für dich als Website-Betreiber:in
Wenn du eines der sieben Plugins einsetzt und dir unsicher bist, ob deine Website betroffen ist: Melde dich einfach bei mir. Ich schaue mir Benutzerliste, mu-plugins-Ordner und die restliche Website gemeinsam mit dir an und sage dir ehrlich, ob und was zu tun ist. Genau solche Fälle – Lücken, die man ohne tieferen Blick in den Code kaum selbst findet – sind der Grund, warum ich WordPress-Wartung anbiete: nicht nur automatische Updates, sondern auch ein Auge dafür, wenn ein Update allein nicht reicht. Bei akutem Verdacht auf einen bereits erfolgten Einbruch findest du außerdem meinen Kontakt hier.
Häufige Fragen
Reicht es, die betroffenen Plugins zu aktualisieren?
Nein. Der Angriff läuft über die Cloud-Infrastruktur des Herstellers, nicht über den Plugin-Code auf deiner Website. Ein Update ändert daran nichts, solange der Hersteller die eigene Infrastruktur nicht bereinigt hat.
Woran erkenne ich, ob meine Website betroffen ist?
Prüfe die Benutzerliste auf unbekannte Administrator-Accounts (Muster: Benutzername beginnt mit „bd_“, E-Mail endet auf @wordpress.org) und den Ordner wp-content/mu-plugins/ auf unbekannte Dateien.
Was, wenn ich eines der Plugins nicht mehr finde, weil es aus dem Verzeichnis entfernt wurde?
Das bedeutet nicht, dass es von deiner Website verschwunden ist. Bereits installierte Plugins bleiben aktiv, bis du sie selbst deaktivierst – nur der Download über das offizielle Verzeichnis ist derzeit gesperrt.