Mehr als 30 WordPress Plugins von Essential Plugin wurden mit Schadcode in Verbindung gebracht. Hier erfährst du, welche Plugins betroffen sind und wie du deine Website jetzt prüfen solltest.
Mit diesen Tools kannst du deine Website auf Schadcode prüfen
Was ist passiert?
Ursprünglich wurde die Plugin-Sammlung von einem indischen Entwicklerteam unter dem Namen WP Online Support entwickelt. Dabei hat es nie Probleme gegeben. Anfang 2025 kaufte ein anonymer Käufer unter dem Nickname „Kris“ die Plugins und taufte sie um in „Essential Plugin“. Kris hat kurz darauf die Plugins mit dem Schadcode versehen, dennoch hat er die Backdoor erst im April 2026, also ein Jahr später, scharfgeschaltet.
Web-Entwickler Austin Ginder hat das Problem aufgedeckt und veröffentlicht. Insgesamt wurden mehr als 30 Plugins für WordPress mit einer sogenannten Backdoor, also einer Hintertür, versehen. Der Schadcode injiziert Redirects und Spam-Links, die nur vom Google Bot gesehen werden können. Website-Betreiber merken das Problem also nicht sofort.
Diese Plugins von Essential Plugin sind betroffen
Nach den veröffentlichten Informationen stehen unter anderem folgende Plugins im Zusammenhang mit dem Vorfall:
- Accordion and Accordion Slider
- Album and Image Gallery Plus Lightbox
- Audio Player with Playlist Ultimate
- Blog Designer for Post and Widget
- Countdown Timer Ultimate
- Featured Post Creative
- Footer Mega Grid Columns
- Hero Banner Ultimate
- HTML5 VideoGallery Plus Player
- Meta Slider and Carousel with Lightbox
- Popup Anything on Click
- Portfolio and Projects
- Post Category Image with Grid and Slider
- Post Grid and Filter Ultimate
- Preloader for Website
- Product Categories Designs for WooCommerce
- Responsive WP FAQ with Category
- SlidersPack All in One Image Sliders
- SP News And Widget
- Styles for WP PageNavi Addon
- Ticker Ultimate
- Timeline and History Slider
- Woo Product Slider and Carousel with Category
- WP Blog and Widgets
- WP Featured Content and Slider
- WP Logo Showcase Responsive Slider and Carousel
- WP Responsive Recent Post Slider
- WP Slick Slider and Image Carousel
- WP Team Showcase and Slider
- WP Testimonial with Widget
- WP Trending Post Slider and Widget
Solche Fälle zeigen auch ein grundlegendes Problem: Viele WordPress Websites sind stark von Drittanbieter-Plugins abhängig. Bei individuell entwickelten Themes können Funktionen wie Slider, Layouts oder Content-Elemente direkt im Code umgesetzt werden. Dadurch werden weniger Plugins benötigt und die Angriffsfläche reduziert sich deutlich.
Was du jetzt tun musst
Wenn du eine WordPress Website betreibst, solltest du jetzt systematisch prüfen, ob eines dieser Plugins installiert ist. Falls ja, reicht ein normales Abwarten nicht aus.
Zuerst solltest du das betroffene Plugin identifizieren und sofort deaktivieren oder durch eine saubere Version ersetzen. Danach solltest du die Website auf Schadcode prüfen. Für einen ersten externen Check eignen sich besonders Sucuri SiteCheck und VirusTotal. Beide Tools helfen dabei, öffentlich erkennbare Malware, verdächtige Skripte oder Blacklisting Hinweise sichtbar zu machen.
Zusätzlich solltest du die Website intern prüfen. Besonders wichtig sind dabei die Datei wp-config.php, der Ordner wp-content/uploads/ und verdächtige PHP Funktionen wie eval, base64_decode, gzinflate oder nachgeladene externe Requests. Auch ein Scan mit Wordfence ist sinnvoll.
Wenn du eines der betroffenen Plugins installiert hattest, solltest du nicht nur das Plugin entfernen, sondern die gesamte Website gründlich kontrollieren. In kompromittierten Fällen kann Schadcode bereits nachgeladen und an anderer Stelle abgelegt worden sein.
Die Tools, um auf Schadcode zu überprüfen
Sucuri SiteCheck
Prüft, ob öffentlich sichtbare Malware, verdächtige Skripte oder Blacklisting Hinweise vorhanden sind.
VirusTotal
Zeigt, ob deine Website URL von bekannten Security Engines als verdächtig eingestuft wird.
Wichtig ist: Diese Tools sind ein erster Schritt, aber keine vollständige Tiefenprüfung.
Versteckter PHP Schadcode oder manipulierte Dateien im Backend werden damit nicht immer gefunden. Deshalb sind zusätzlich Wordfence, eine manuelle Dateiprüfung und ein Blick in wp-config.php sinnvol
Brauchst du Hilfe bei der Prüfung deiner WordPress Website?
Ich unterstütze bei der Kontrolle verdächtiger Plugins, der Prüfung auf Schadcode und der technischen Bereinigung kompromittierter WordPress Installationen.
Du kannst mich gerne per Mail oder WhatsApp kontaktieren!