CISPA-Fuzzer THEMIS jagt Lücken in WordPress-Plugins: 10 unbekannte Schwachstellen, drei neue CVEs
Ein Team am CISPA Helmholtz-Zentrum hat mit THEMIS einen Fuzzer speziell für WordPress-Plugins gebaut. Auf 68 getesteten Plugins fand das Tool zehn bisher unbekannte Schwachstellen, reproduzierte 27 bekannte Fehler und lieferte drei neue CVE-Kennungen. Für Agenturen und Betreiber heißt das: jedes Plugin, das seit Monaten nicht aktualisiert wurde, wird jetzt zur offenen Flanke.
Am Saarbrücker CISPA Helmholtz-Zentrum für Informationssicherheit haben Forscher einen neuen Fuzzer für WordPress-Plugins vorgestellt. Das Werkzeug heißt THEMIS, sein Paper trägt den Titel „THEMIS: Context-Aware Grey-box Fuzzing for WordPress Plugins“ und wurde auf der Euro&SP in Lissabon präsentiert. Hauptautor ist Matteo Leonelli, Mitautoren sind David Jannis Dewes und Thorsten Holz. Die Pressemitteilung datiert auf den 11. September 2026.
Fuzzing bedeutet: eine Software wird mit riesigen Mengen halb sinnvoller Eingaben beschossen, bis sie einknickt. Für Programmiersprachen und Betriebssysteme ist das ein Standardverfahren, für die Plugin-Welt von WordPress fehlten bisher passgenaue Werkzeuge. Genau in diese Lücke stößt THEMIS.
Was THEMIS anders macht
Der Fuzzer setzt auf dem bestehenden Framework ATROPOS auf und ergänzt drei WordPress-spezifische Bausteine. Erstens eine domänenspezifische Instrumentierung des WordPress-Kerns, damit Fuzzing-Signale genau da entstehen, wo Plugin und Kern zusammenspielen. Zweitens einen adaptiven Fuzzing-Harness, der neu installierte Plugins automatisch erkennt und in den Testlauf einbindet. Drittens eigene Bug-Oracle, die typische Fehlerklassen erkennen, ohne den Testlauf ständig zu unterbrechen.
Das Zielbild ist bewusst eng gefasst. THEMIS konzentriert sich auf serverseitige Schwachstellen und beobachtet den Datenverkehr zwischen WordPress-Kern und Plugin-Oberfläche. Frontend-Fehler wie klassisches Cross-Site-Scripting bleiben außen vor, dafür rücken Injektionen, unsichere Datei-Uploads und fehlerhafte Rechteprüfungen in den Fokus. Die Forscher schreiben, ihr Ansatz habe Schwachstellen im Schnitt schneller gefunden als bestehende Verfahren.
Die Zahlen aus der Studie
Getestet wurden 68 Plugins. Das Ergebnis:
- 10 bislang unbekannte Schwachstellen aufgespürt.
- 27 bereits bekannte Lücken reproduziert.
- 3 neue CVE-Kennungen aus dem Lauf hervorgegangen.
Genau die Mischung ist wichtig. Ein Fuzzer, der nur exotische Nischen-Plugins zerlegt, hat für die Praxis wenig Wert. Dass THEMIS parallel 27 dokumentierte Fehler wiederfindet, zeigt: der Ansatz ist nicht zufällig gut, sondern reproduziert die bekannten Schwachstellen und findet obendrauf zehn neue.
Warum das für Agenturen relevant ist
Der WordPress-Kern gilt als vergleichsweise gut abgesichert. Die tatsächliche Angriffsfläche liegt seit Jahren in den Plugins: Kalender, Formulare, Optimierer, Backup-Tools, Migrations-Helfer. Genau dorthin zielt THEMIS. In den letzten Wochen wurden über findflix bereits Massen-Vorfälle wie All-in-One WP Migration mit 3,2 Millionen betroffenen Sites, TranslatePress 3.3.2 oder Elementor Pro 4.2.2 abgebildet. Der gemeinsame Nenner: eine einzige alte Plugin-Version reicht, damit eine ganze Kundensite kippt.
Ein akademischer Fuzzer verändert daran zunächst nichts. Er senkt aber den Preis, mit dem sowohl Forscher als auch Angreifer neue Lücken finden. Für Betreiber steigt damit das Tempo, in dem Sicherheits-Updates ausgerollt werden müssen.
Was heute konkret zu tun ist
- Plugin-Inventar aktuell halten: für jeden Kunden eine Liste aller aktiven Plugins mit Version und letztem Update, monatlich prüfen.
- Auto-Updates verantwortungsvoll nutzen: für Minor-Versionen einschalten, für Major-Versionen mit Staging arbeiten.
- Ungenutzte Plugins löschen, nicht nur deaktivieren: deaktivierte Plugins liefern trotzdem Code im Filesystem, der bei Fehlkonfiguration erreichbar wird.
- CVE-Feeds abonnieren: Patchstack, WPScan und Wordfence melden neue Lücken oft am selben Tag, an dem sie öffentlich werden.
- Kundenkommunikation vorbereiten: eine kurze Standard-Mail zur Notfall-Aktualisierung spart im Ernstfall Stunden.
Wer Kundenseiten auf WordPress betreibt, kommt an einem sauberen Sicherheits- und Update-Prozess nicht mehr vorbei. Mehr über den Umgang mit betreuungsbedürftigen Bestandssites und wie sich daraus Wartungsverträge und Neuprojekte entwickeln lassen, steht im Leitfaden zur Webdesign-Lead-Gewinnung.
Der Quellcode von THEMIS ist laut CISPA öffentlich verfügbar, damit Plugin-Entwickler ihre eigenen Erweiterungen prüfen können, bevor Angreifer es tun.