LiteSpeed-Cache-Sicherheitslücke: Ist meine WordPress-Seite betroffen?

LiteSpeed Cache ist ein Plugin, das WordPress-Seiten schneller macht. Es speichert fertige Seiten zwischen (das nennt man Cache) und verkleinert Dateien für Schriften und Gestaltung. Laut wordpress.org ist es auf mehr als 7 Millionen Websites aktiv. Viele Hoster installieren es gleich mit.

Am 21. Oktober 2026 hat der Sicherheitsdienst WPScan zwei Lücken mit den Kennungen CVE-2026-113499 und CVE-2026-113500 veröffentlicht. Entdeckt hat sie der Sicherheitsforscher Jakub Herman. Der Hersteller hat sie bereits am 20. Oktober mit Version 7.9.2 geschlossen. WPScan bewertet beide mit 7,5 von 10 Punkten, also als „hoch“.

Es handelt sich um sogenanntes Cross-Site-Scripting, kurz XSS. Einfach gesagt: Ein Fremder schmuggelt ein kleines Programm in deine Seite, und das läuft dann im Browser jedes Besuchers, der die Seite aufruft. Stell dir vor, jemand klebt einen manipulierten Zettel an deine Ladentür, und jeder Kunde, der ihn liest, gibt unbemerkt seinen Schlüssel ab.

Zwei Funktionen des Plugins sollen eigentlich nur Gestaltungsdateien (CSS) bearbeiten: die Schriftart-Optimierung und das Umschreiben von CSS-Adressen für ein CDN, also ein Netz aus Servern, das Dateien schneller ausliefert. Laut WPScan greifen beide aber auf die ganze Seite zu und entfernen dabei versehentlich ein Anführungszeichen. Dadurch wird aus einem harmlosen Kommentar plötzlich ausführbarer Code.

Ein Angreifer braucht dafür kein Konto. Er schreibt einen Kommentar mit präpariertem Namen. Wird dieser Kommentar veröffentlicht, läuft der Code bei jedem Besucher. Besonders heikel: Ruft ein angemeldeter Administrator die Seite auf, kann der Code in seinem Namen handeln und zum Beispiel ein neues Admin-Konto anlegen. Dann hätte der Angreifer die volle Kontrolle über die Website.

Die gute Nachricht: Laut Dr. Web sind bisher keine Angriffe bekannt. WPScan stuft den Angriff als aufwendig ein, weil bestimmte Einstellungen aktiv sein müssen und der Kommentar erst veröffentlicht werden muss. Am 22. November 2026 will WPScan aber Beispielcode veröffentlichen. Spätestens dann wird es für Angreifer deutlich leichter.

Vorsicht bei den Voreinstellungen: Laut Dr. Web schalten drei der fünf Presets im Plugin die Schriftart-Optimierung ein, darunter das vom Hersteller empfohlene Preset „Advanced“ sowie „Aggressive“ und „Extreme“. Wer bei der Einrichtung einfach auf „Empfohlen“ geklickt hat, ist also womöglich betroffen, ohne es zu wissen.

Auch wenn dein Hoster gar keinen LiteSpeed-Server nutzt, bist du nicht automatisch raus. Laut wordpress.org laufen die Optimierungsfunktionen für CSS und JavaScript auf jedem Server, also auch bei Apache oder NGINX.

Laut Dr. Web liefen am 23. Oktober noch knapp 32 Prozent aller Installationen auf einer Version vor 7.9, also auf einem älteren Stand. Rechnerisch sind das mehr als 2,2 Millionen Websites.

• ✓1. Backup anlegen: Sichere Dateien und Datenbank, zum Beispiel über den Kundenbereich deines Hosters.
• ✓2. Version prüfen: Melde dich in WordPress an und öffne Plugins → Installierte Plugins. Neben „LiteSpeed Cache“ steht die Versionsnummer.
• ✓3. Aktualisieren: Steht dort eine Nummer unter 7.9.2, klicke auf „Jetzt aktualisieren“.
• ✓4. Kein Update möglich? Dann schalte vorübergehend die Schriftart-Optimierung und das CDN-Umschreiben von CSS in den Plugin-Einstellungen aus.
• ✓5. Cache leeren: Leere im Plugin den gesamten Cache. Nutzt du zusätzlich einen Cache beim Hoster oder ein CDN wie Cloudflare, leere auch diesen. Sonst liefert der Zwischenspeicher eventuell noch die alte, manipulierte Seite aus.
• ✓6. Kommentare prüfen: Schau unter Kommentare nach freigegebenen Einträgen mit merkwürdigen Namen oder Code-Schnipseln wie spitzen Klammern. Lösche sie.
• ✓7. Benutzer prüfen: Öffne Benutzer → Alle Benutzer und filtere nach „Administrator“. Kennst du ein Konto nicht, entferne es und ändere dein eigenes Passwort.

Mit Version 7.9.2 wird laut Dr. Web außerdem eine dritte, weniger schwere Lücke geschlossen: Angemeldete Nutzer mit der einfachsten Rolle „Abonnent“ konnten unter bestimmten Einstellungen Warnhinweise des Plugins ausblenden. Auch das erledigt das Update gleich mit.

Viele Hoster mit Managed WordPress spielen Plugin-Updates automatisch ein. Verlass dich aber nicht blind darauf, sondern schau selbst kurz auf die Versionsnummer oder frag beim Hoster nach.

Findest du Hinweise auf einen Angriff und könnten Kundendaten betroffen sein, etwa aus einem Kontaktformular oder Shop, prüfe die Meldepflicht nach Artikel 33 DSGVO. Eine Meldung an die Datenschutzbehörde muss dann in der Regel innerhalb von 72 Stunden erfolgen. Dieser Hinweis ersetzt keine Rechtsberatung.

Generell gilt: Kommentare, die du vor der Veröffentlichung selbst freigibst, sind eine gute Schutzschicht. Brauchst du die Kommentarfunktion gar nicht, etwa auf der Seite eines Handwerksbetriebs, kannst du sie in WordPress unter Einstellungen → Diskussion ganz abschalten.

Jedes Plugin ist zusätzlicher Code, der Fehler enthalten kann. Gerade Optimierungs-Plugins greifen tief in jede Seite ein. Zwei Wege helfen dauerhaft:

• ✓Regelmäßige Wartung: Jemand prüft wöchentlich die Updates, spielt sie ein und testet danach Formulare, Shop und Login.
• ✓Weniger Plugins: Eine schlanke, handcodierte Website ist von Haus aus schnell und braucht kein Cache-Plugin. Solche Lücken laufen dort ins Leere.