Protect The Shire: WordPress bremst Plugin-Updates – zum Schutz Deiner Website
WordPress hat Anfang Juni eine Sicherheitsinitiative angekündigt, die alle Website-Betreiber betrifft: Unter dem Namen „Protect The Shire“ (frei übersetzt: „Schütze das Heimatland“) führt WordPress.org eine Wartezeit von bis zu 24 Stunden ein, bevor neue Plugin- und Theme-Versionen über den automatischen Update-Kanal ausgeliefert werden.
Die Maßnahme klingt zunächst widersprüchlich – Updates werden absichtlich verzögert, um die Sicherheit zu erhöhen? Wie das funktioniert und was Du als WordPress-Nutzer konkret wissen musst, erkläre ich hier.
Warum bremst WordPress jetzt absichtlich?
Normalerweise gilt bei Sicherheitslücken: je schneller das Update, desto besser. Das ist nach wie vor richtig. Aber es gibt eine andere Art von Bedrohung, bei der Schnelligkeit zum Problem werden kann: sogenannte Lieferketten-Angriffe.
Bei einem Lieferketten-Angriff wird nicht die Website selbst angegriffen, sondern ein Plugin oder Theme, das darauf läuft. Gelingt es jemandem, Schadcode in ein Plugin-Update einzuschleusen, wird dieser Code durch das automatische Update-System auf tausenden Websites gleichzeitig verteilt – ohne dass die Betreiber etwas bemerken.
Laut der offiziellen Ankündigung von Matt Mullenweg (Mitgründer von WordPress) sind zwei solche Vorfälle der unmittelbare Auslöser:
- Im April 2026 wurde ein Schadcode-Einschluss in 31 WordPress-Plugins entdeckt, der bereits seit August 2025 – also acht Monate lang – unbemerkt im Update-Kanal geschlummert hatte. Als er aktiviert wurde, waren über 20.000 Websites betroffen.
- Nahezu gleichzeitig wurde ein kompromittiertes Update für ein weiteres bekanntes Plugin entdeckt, das rund sechs Stunden lang über den automatischen Kanal verteilt wurde, bevor WordPress.org eingreifen konnte.
Was ist „Gandalf“?
WordPress.org hat als Reaktion eine KI-gestützte Prüfroutine mit dem internen Namen Gandalf eingeführt. Jede neue Plugin- oder Theme-Version durchläuft jetzt eine automatisierte Code-Analyse, bevor sie über den Auto-Update-Kanal verteilt wird.
Die Wartezeit von bis zu 24 Stunden soll Gandalf genug Zeit geben, verdächtigen Code zu erkennen. WordPress selbst bezeichnet die Maßnahme als vorübergehend: Sobald die KI-Prüfung weiterentwickelt ist, soll die Verzögerung deutlich kürzer werden – im besten Fall auf wenige Minuten schrumpfen.
Was ändert sich für Dich konkret?
Zunächst das Wichtigste: Wenn Du Updates manuell über Dein WordPress-Dashboard einspielst (Dashboard → Aktualisierungen), ändert sich für Dich nichts. Dort erscheinen neue Versionen wie bisher, sobald sie vom Entwickler veröffentlicht wurden.
Betroffen sind nur automatische Updates – also die Funktion, bei der WordPress Plugins im Hintergrund selbstständig aktualisiert, ohne dass Du etwas tun musst.
Das bedeutet in der Praxis:
- Hast Du Auto-Updates für bestimmte Plugins aktiviert, kann es jetzt bis zu 24 Stunden dauern, bis eine neue Version automatisch eingespielt wird.
- Manuell kannst Du jederzeit früher updaten – daran hat sich nichts geändert.
- Falls ein Plugin eine dringende Sicherheitslücke schließt, solltest Du das Update lieber manuell anstoßen, statt auf die automatische Verteilung zu warten.
Was Du jetzt überdenken solltest
Diese Änderung ist ein guter Anlass, die eigene Update-Gewohnheit kurz zu hinterfragen.
Kenne Deine kritischen Plugins. Welche Plugins auf Deiner Website sind besonders wichtig – also solche, über die Formulareingaben, Zahlungen oder persönliche Daten laufen? Diese solltest Du regelmäßig und zeitnah aktualisieren, auch manuell.
Aktiviere Benachrichtigungen. Viele Sicherheits-Plugins oder Hosting-Anbieter informieren Dich per E-Mail, wenn ein Update verfügbar ist. Das ist jetzt wichtiger denn je – besonders für sicherheitskritische Plugins wie Sicherheits-, Formular- oder Bezahl-Plugins.
Halte Backups aktuell. Vor jedem Update – ob automatisch oder manuell – sollte ein aktuelles Backup vorhanden sein. Dein Hosting-Anbieter bietet das oft automatisch an, oder Du nutzt ein Backup-Plugin.
Entferne ungenutzte Plugins. Plugins, die Du nicht mehr aktiv nutzt, sind ein unnötiges Risiko. Deaktivieren reicht nicht – lösche sie vollständig.
KI gegen KI
Die 24-Stunden-Verzögerung ist kein Zeichen dafür, dass das WordPress-Plugin-Verzeichnis unsicher geworden ist. Es ist eine Reaktion auf eine reale und wachsende Bedrohung: KI macht es einfacher, Plugins schnell zu entwickeln – und leider auch einfacher, sie schnell zu kompromittieren. Das WordPress-Projekt versucht mit „Protect The Shire“ genau das zu kontern: KI-gestützte Prüfung gegen KI-gestützte Angriffe.
Das ist ein vernünftiger Schritt, auch wenn er zunächst ungewohnt klingt. Und er erinnert daran: Automatische Updates sind ein Komfortmerkmal, kein Ersatz für aktive Pflege der eigenen Website.
