WordPress Defender Security 6.4.1: Update schließt Lücke bei Zwei-Faktor-Schutz

Der Entwickler WPMU DEV hat am 5. November 2026 die Version 6.4.1 des WordPress-Plugins Defender Security bereitgestellt. Mit dieser Aktualisierung behebt das Unternehmen eine kritische Schwachstelle, die das Umgehen der Zwei-Faktor-Authentifizierung ermöglichte.

Wie aus einem Bericht von drweb.de vom 12. November 2026 hervorgeht, veröffentlichte der Sicherheitsdienstleister WPScan am 10. November 2026 Details zu zwei Lücken in der Erweiterung. Seit dem 12. November führt auch die US-amerikanische Schwachstellendatenbank NVD die beiden Sicherheitsprobleme in ihren Verzeichnissen.

Unbegrenzte Versuche hebelten Schutzmechanismus aus

Die schwerwiegendere der beiden gemeldeten Schwachstellen betrifft direkt die zusätzliche Absicherung von Benutzerkonten. Nach Angaben von WPMU DEV existierte eine fehlende Begrenzung bei der Eingabe des Zwei-Faktor-Codes.

Die Lücke wird mit einem CVSS-Wert von 7,5 als hoch eingestuft. Ein Angreifer, dem das reguläre Passwort eines Nutzers bereits bekannt war, konnte den erforderlichen Einmalcode durch unbegrenztes Raten ermitteln und sich so unbefugt Zugriff auf das System verschaffen.

Wer sich mit der Absicherung seiner digitalen Konten befasst, erkennt schnell, dass Passwörter allein oft nicht mehr ausreichen. Dieser kostenlose Report zeigt Ihnen, wie Sie mit Passkeys eine moderne Alternative einrichten, die Hackern keine Chance mehr lässt. Sichere Alternative zu Passwörtern jetzt kostenlos entdecken

Zusätzlich beseitigt das Update ein zweites Problem, das in den Versionen 4.9.0 bis 6.4.0 von Defender Security auftrat. WPMU DEV beziffert das Risiko für diese fälschbare IP-Adresse mit einem CVSS-Wert von 5,3, was einer mittleren Gefahrenstufe entspricht.

Bei dieser Schwachstelle ließ sich selbst ohne bestehendes Benutzerkonto über einen selbst mitgeschickten Wert eine beliebige IP-Adresse vortäuschen. Angreifer waren dadurch in der Lage, eingerichtete IP-Sperren des Plugins wirkungslos zu machen. Entdeckt wurden die beiden Sicherheitslücken laut WPScan von Karthik Ramakrishnan.

Zahlreiche Installationen verbleiben auf älteren Ständen

Das Sicherheits-Plugin weist eine erhebliche Verbreitung im WordPress-Ökosystem auf. Daten der Plattform wordpress.org verzeichneten mit Stand vom 12. November über 80.000 aktive Installationen für Defender Security. Ein beträchtlicher Anteil der Websites setzte zu diesem Zeitpunkt jedoch veraltete Versionen ein.

Pro Quartal werden in Deutschland Millionen von Online-Konten gehackt, was die Notwendigkeit für robuste Sicherheitslösungen unterstreicht. Erfahren Sie in diesem Gratis-Leitfaden, wie Sie Passkeys bei großen Diensten wie Amazon oder WhatsApp sofort aktivieren und so Ihren Schutz massiv erhöhen. Kostenlosen Report für maximale Konten-Sicherheit anfordern

Laut Angaben von wordpress.org entfielen rund 33 Prozent der Installationen auf die Versionszweige 6.2 und 6.3, während 41 Prozent unter „andere“ erfasst wurden. Lediglich 26 Prozent der Installationen liefen auf dem Zweig 6.4, der allerdings auch die ungepatchte Version 6.4.0 einschloss.

Für Betreiber von WordPress-Websites ist die Aktualisierung auf die Version 6.4.1 daher der zentrale Schritt, um die Sicherheitsmechanismen für Anmeldungen und Sperrlisten wieder vollständig herzustellen.