Die WP Rocket Sicherheitslücke vom August 2026 ist mit Version 3.23.3.3 geschlossen. Das Update allein genügt aber nicht: Wer Cloudflare oder Sucuri im Plugin hinterlegt hat, muss diese Zugangsdaten zusätzlich neu erzeugen. WP Rocket hat seine Kunden am 28. August 2026 per Mail informiert, dass Kontomail-Adresse, Lizenzschlüssel und die im Plugin gespeicherten Cloudflare- und Sucuri-Schlüssel offengelegen haben könnten. Ich zeige dir, was passiert ist, warum ein Plugin-Update einen einmal abgeflossenen Schlüssel nicht entwertet und welche vier Schritte du heute abarbeiten solltest.
Letzte Aktualisierung: August 2026
Was bei der WP Rocket Sicherheitslücke genau passiert ist
WP Rocket hat die Schwachstelle nach eigenen Angaben am 26. und 27. August 2026 entdeckt und noch am 27. August die bereinigte Version 3.23.3.3 ausgeliefert. Einen Tag später ging die Benachrichtigung an die Kundschaft raus.
Betroffen waren drei Arten von Daten, die das Plugin in der Verbindung zum Hersteller mitführt:
- Die E-Mail-Adresse deines WP-Rocket-Kontos: für sich genommen harmlos, in Kombination mit dem Lizenzschlüssel aber eine saubere Vorlage für gezielte Phishing-Mails.
- Der Lizenzschlüssel: damit lässt sich die Lizenz missbrauchen, im schlimmsten Fall bis zur Übernahme deines Kundenkontos beim Hersteller.
- Die API-Schlüssel für Cloudflare und Sucuri: das ist der ernste Teil. Diese Schlüssel hinterlegst du im Plugin, damit WP Rocket bei jeder Änderung automatisch den Cache beim Dienstleister leeren kann.
Der Hersteller schreibt in derselben Mail, dass ihm zum Zeitpunkt des Versands keine Meldung über einen tatsächlichen Datenabfluss vorlag. Das ist eine wichtige Einschränkung und ich will sie nicht kleinreden. Nur ändert sie an der Handlungsempfehlung nichts, denn niemand kann rückblickend sicher sagen, ob ein Schlüssel abgegriffen wurde oder nicht.
Was ist WP Rocket?
WP Rocket ist ein kostenpflichtiges Caching-Plugin für WordPress. Es legt fertig gerenderte Versionen deiner Seiten ab, damit der Server sie nicht bei jedem Aufruf neu zusammenbauen muss. Nebenbei übernimmt es Aufgaben wie das Zusammenfassen von CSS-Dateien und das verzögerte Laden von Bildern. Der Hersteller nennt auf seiner Seite im August 2026 mehr als 5,5 Millionen ausgestattete Webseiten, wobei diese Zahl auch abgelaufene und Testinstallationen einschließt.
Für kleine Betriebe ist das Plugin deshalb relevant, weil es fast nie selbst installiert wurde. In den meisten Fällen hat es die Agentur eingerichtet, die die Webseite gebaut hat. Wer nie mit den Einstellungen zu tun hatte, weiß häufig gar nicht, dass dort ein Cloudflare-Zugang hinterlegt ist.
Warum das Update bei dieser WP Rocket Sicherheitslücke nicht reicht
Ein Plugin-Update schließt die Lücke, durch die Daten hätten abfließen können. Es macht Daten, die möglicherweise bereits abgeflossen sind, nicht ungültig. Das sind zwei verschiedene Vorgänge, und genau hier liegt der Unterschied zu den anderen WordPress-Meldungen der letzten Wochen.
Bei der Elementor-Lücke und beim Forminator-Formular-Plugin war die Sache eindeutig: aktualisieren, fertig. Der Angriffsweg war weg, mehr gab es nicht zu tun. Bei WP Rocket geht es um Zugangsdaten, und ein Zugangsdatum bleibt so lange gültig, bis du es aktiv austauschst.
Was ist ein API-Schlüssel?
Ein API-Schlüssel ist eine lange Zeichenkette, mit der sich ein Programm bei einem anderen Dienst ausweist, ohne dass ein Mensch ein Passwort eintippt. Er ersetzt also Benutzername und Passwort für die Maschine-zu-Maschine-Kommunikation. Wer den Schlüssel besitzt, darf alles, was der Schlüssel erlaubt, und zwar unabhängig davon, von welchem Rechner aus er benutzt wird.
Bei Cloudflare kann ein Schlüssel mit weiten Rechten dazu berechtigen, DNS-Einträge zu ändern. Damit ließe sich der Verkehr deiner Domain auf einen fremden Server umleiten, ohne dass an deiner WordPress-Installation eine einzige Datei angefasst wird. Bei Sucuri hängt am Schlüssel die Firewall, die deine Seite eigentlich schützen soll. Beides sind Zugänge, die deutlich mehr Schaden anrichten können als das Caching-Plugin selbst.
Deshalb halte ich die Empfehlung des Herstellers für richtig, auch wenn sie unbequem ist: Schlüssel tauschen, nicht nur aktualisieren.
Vier Schritte, mit denen du die WP Rocket Sicherheitslücke sauber abschließt
Die folgende Reihenfolge ist bewusst gewählt. Wenn du den Cloudflare-Schlüssel tauschst, bevor das Plugin aktualisiert ist, trägst du den neuen Schlüssel unter Umständen in eine noch verwundbare Version ein.
- WP Rocket auf Version 3.23.3.3 oder neuer aktualisieren. Im WordPress-Backend unter Plugins nachsehen, welche Version läuft. Bei aktiver Lizenz erscheint das Update automatisch, sonst hilft ein Klick auf "Nach Updates suchen" im WP-Rocket-Menü.
- Cloudflare-Schlüssel neu erzeugen. In deinem Cloudflare-Konto den bisher verwendeten Schlüssel widerrufen, einen neuen anlegen und ihn danach in WP Rocket eintragen. Falls derselbe Schlüssel noch an anderer Stelle hinterlegt ist, etwa in einem zweiten Plugin oder einem Monitoring-Dienst, muss er auch dort ersetzt werden.
- Sucuri-Firewall-Schlüssel neu erzeugen. Gleiches Vorgehen im Sucuri-Dashboard. Diesen Punkt betrifft nur, wer die Sucuri-Firewall tatsächlich einsetzt.
- Benutzerkonten und Login-Protokoll prüfen. Sieh im WordPress-Backend unter Benutzer nach, ob dort ein Konto steht, das du nicht kennst. Das ist bei diesem Vorfall zwar nicht der eigentliche Angriffsweg, aber eine Kontrolle, die nach jeder Sicherheitsmeldung sinnvoll ist.
Der zeitliche Aufwand liegt bei einer Viertelstunde, wenn du weißt, wo deine Zugänge liegen. Wenn du das nicht weißt, ist genau das der eigentliche Befund: Dann ist unklar, wer außer dir noch Schlüssel für deine Webseite hat.
| Daten | Update reicht? | Was zusätzlich nötig ist |
|---|---|---|
| Cloudflare API-Schlüssel | Nein | Widerrufen, neu erzeugen, überall neu eintragen |
| Sucuri Firewall-Schlüssel | Nein | Im Sucuri-Dashboard neu erzeugen |
| WP-Rocket-Lizenzschlüssel | Nein | Beim Hersteller prüfen, Konto-Passwort ändern |
| Konto-E-Mail-Adresse | Ja | Auf Phishing-Mails im Namen von WP Rocket achten |
WP Rocket war im August 2026 nicht der einzige Fall
Die Meldung kam in einer Woche, in der gleich mehrere weit verbreitete Plugins Sicherheitsmeldungen hatten. Das ist kein Zufall und auch keine besonders schlimme Woche, sondern der Normalzustand im WordPress-Umfeld.
| Plugin | Problem | Behoben in |
|---|---|---|
| WP Rocket | Mögliche Offenlegung von Lizenz- und API-Schlüsseln | 3.23.3.3 (27. August 2026) |
| GiveWP | Codeausführung ohne Anmeldung, CVE-2026-82222, CVSS 10.0 | 4.16.7.2 (27. August 2026) |
| Elementor Pro | Datei-Upload ohne Anmeldung, CVE-2026-32475, CVSS 9.0 | 4.2.2 (19. August 2026) |
| miniOrange SAML SSO | Umgehung der Anmeldung, CVE-2026-61979 und CVE-2026-15981 | je nach Edition, Free ab 5.4.5 |
Die GiveWP-Lücke betrifft nach Angaben der Sicherheitsplattform Patchstack über 100.000 Installationen und erreicht mit 10.0 den höchstmöglichen Schweregrad. Bei miniOrange wurden bereits Ausnutzungsversuche beobachtet. Wer eines dieser Plugins einsetzt, sollte die Liste durchgehen, statt nur den einen Fall abzuarbeiten, von dem er zufällig gelesen hat.
Was der Fall über die Wartung von WordPress-Seiten sagt
Ich sehe bei Kundenprojekten regelmäßig dasselbe Muster. Die Webseite läuft, niemand meldet ein Problem, also schaut monatelang niemand hinein. Die Zahlen dazu sind ziemlich eindeutig.
Im Jahr 2025 wurden 11.334 neue Schwachstellen im WordPress-Umfeld erfasst, 91 Prozent davon in Plugins und 9 Prozent in Themes.
Quelle: Patchstack, State of WordPress Security in 2026, Auswertung der eigenen Schwachstellen-Koordinationsdatenbank mit über 1.000 angeschlossenen Plugin-Anbietern, Erhebungszeitraum 2025
Interessanter als die Menge finde ich das Tempo. Zwischen der Veröffentlichung einer Lücke und dem ersten automatisierten Angriffsversuch liegen oft nur Stunden.
Bei stark ausgenutzten Schwachstellen liegt die gewichtete mittlere Zeit bis zum ersten Angriff bei fünf Stunden. 46 Prozent aller Schwachstellen hatten zum Zeitpunkt der Veröffentlichung noch keinen Patch.
Quelle: Patchstack, State of WordPress Security in 2026, Auswertung der eigenen Schwachstellen-Koordinationsdatenbank mit über 1.000 angeschlossenen Plugin-Anbietern, Erhebungszeitraum 2025
Fünf Stunden. Das ist die Zeitspanne, in der ein manuelles "ich schau am Wochenende mal rein" praktisch keine Rolle mehr spielt. Automatisierte Scanner arbeiten die frisch veröffentlichten Lücken ab, während der Betriebsinhaber noch auf der Baustelle steht.
Daraus folgt für mich nicht, dass jeder Betrieb ein Sicherheitsteam braucht. Es folgt, dass die Aktualisierung der Webseite ein fester Termin sein muss und keine Reaktion auf Zufallsfunde. Genau dafür gibt es unsere Wartungspakete ab 49 € netto im Monat, in denen Updates, Backups und die Kontrolle nach Sicherheitsmeldungen enthalten sind. Wer das lieber selbst macht, findet die Grundlagen in meinem Beitrag zu den wichtigsten Schutzmaßnahmen für WordPress.
Woran du erkennst, ob deine Seite betroffen ist
Melde dich im WordPress-Backend an und gehe auf die Plugin-Übersicht. Dort steht hinter jedem Plugin die installierte Versionsnummer. Ist WP Rocket dabei und die Nummer kleiner als 3.23.3.3, ist die Lücke bei dir noch offen.
Ob Cloudflare- oder Sucuri-Schlüssel hinterlegt sind, siehst du in den WP-Rocket-Einstellungen im Bereich für Add-ons. Steht dort eine Verbindung als aktiv, betrifft dich der Schlüsseltausch. Ist das Feld leer, reicht bei dir tatsächlich das Update.
Drei Fragen, die bei jeder Sicherheitsmeldung helfen
Die WP Rocket Sicherheitslücke ist ein guter Anlass, sich ein kleines Raster zurechtzulegen. Die meisten Betriebe scheitern nämlich nicht an der Technik, sondern an der Einordnung: Ist das jetzt dringend oder nicht?
Erstens: Betrifft es meine Installation überhaupt? Viele Meldungen betreffen nur bestimmte Versionen oder nur Seiten mit einer bestimmten Funktion. Die Elementor-Lücke im August ließ sich zum Beispiel nur ausnutzen, wenn auf der Seite ein veröffentlichtes Formular mit Datei-Upload existiert. Ohne dieses Formular war die Installation zwar verwundbar gemeldet, aber praktisch nicht angreifbar. Die Versionsnummer in der Plugin-Übersicht beantwortet die Frage in dreißig Sekunden.
Zweitens: Geht es um eine Lücke oder um Zugangsdaten? Das ist die Unterscheidung, um die es in diesem ganzen Beitrag geht. Bei einer Lücke reicht das Update. Sobald in der Meldung Wörter wie Schlüssel, Token, Passwort oder Zugangsdaten vorkommen, kommt ein zweiter Arbeitsschritt dazu, und den vergisst fast jeder.
Drittens: Wer hat außer mir Zugriff? Auf einer typischen Betriebswebseite hängen mehr Zugänge als gedacht: die Agentur, der Hoster, ein Backup-Dienst, ein Formular-Anbieter, manchmal noch der Steuerberater für ein Buchungsformular. Jeder dieser Zugänge ist ein eigener Schlüssel. Eine schlichte Liste in einem Passwortmanager, die einmal im Jahr durchgesehen wird, erspart im Ernstfall die halbe Sucherei.
Wer diese drei Fragen beantworten kann, braucht für den nächsten Vorfall keine Anleitung mehr. Und es hilft auch dabei, überzogene Panikmeldungen von echten Notfällen zu trennen, denn beides landet im selben Postfach.
Häufige Fragen zur WP Rocket Sicherheitslücke
Welche WP-Rocket-Version schließt die Sicherheitslücke?
Version 3.23.3.3, veröffentlicht am 27. August 2026. Jede ältere Version gilt als betroffen. Nach dem Update solltest du zusätzlich die hinterlegten Cloudflare- und Sucuri-Schlüssel neu erzeugen.
Wurde meine Webseite durch die WP Rocket Sicherheitslücke gehackt?
Der Hersteller hat mitgeteilt, dass ihm bei Versand der Kundenmail am 28. August 2026 keine Meldung über einen tatsächlichen Datenabfluss vorlag. Ein Nachweis, dass nichts passiert ist, ist das nicht. Prüfe deshalb deine Benutzerliste im WordPress-Backend auf unbekannte Konten.
Muss ich die Schlüssel auch tauschen, wenn ich WP Rocket schon aktualisiert habe?
Ja. Das Update schließt den Weg, über den Daten hätten abfließen können, macht aber bereits kopierte Schlüssel nicht ungültig. Ein API-Schlüssel bleibt so lange gültig, bis du ihn beim jeweiligen Dienst aktiv widerrufst.
Was passiert, wenn ich WP Rocket einfach deaktiviere?
Deaktivieren entfernt den Angriffsweg, ändert aber nichts an bereits hinterlegten Schlüsseln, und deine Seite wird spürbar langsamer. Sinnvoller ist das Update samt Schlüsseltausch. Wenn du das Plugin dauerhaft loswerden willst, deinstalliere es vollständig und widerrufe die Schlüssel trotzdem.
Betrifft mich der Vorfall auch ohne Cloudflare und Sucuri?
Dann bleibt nur die mögliche Offenlegung von Kontomail und Lizenzschlüssel. Aktualisiere das Plugin und rechne in den nächsten Wochen mit Phishing-Mails, die sich als WP Rocket ausgeben und dich zur Eingabe von Zugangsdaten auffordern.
Fazit zur WP Rocket Sicherheitslücke
Die WP Rocket Sicherheitslücke ist technisch schnell erledigt und trotzdem der lehrreichste WordPress-Vorfall dieses Monats. Sie zeigt den Unterschied zwischen einer geschlossenen Lücke und einem entwerteten Zugang, und dieser Unterschied wird in den meisten Update-Hinweisen unterschlagen.
Mein Rat: Aktualisiere heute auf 3.23.3.3, tausche die Cloudflare- und Sucuri-Schlüssel und schreibe dir auf, welche Dienste überhaupt Zugang zu deiner Webseite haben. Diese Liste brauchst du beim nächsten Vorfall wieder, und es wird einen nächsten geben.
Wenn du nicht sicher bist, welche Plugins auf deiner Seite laufen und wer dort Schlüssel hinterlegt hat, schau ich mir das gerne an. Vereinbare dafür ein kostenloses Erstgespräch, unverbindlich und ohne Verkaufsdruck.
Die vollständigen Zahlen zur Bedrohungslage findest du im Sicherheitsbericht von Patchstack.
