Ein Plugin-Update im offiziellen WordPress-Repository muss nicht mehr sofort bei Nutzern landen. Jede neue Version wird auf Sicherheitsrisiken analysiert, und wenn das Ergebnis ein hohes Risiko anzeigt, stoppt WordPress.org automatisch die Verteilung.

Was hat sich eigentlich geändert?

WordPress.org hatte die automatische Prüfung von Updates bereits ausgebaut, doch die Ergebnisse erforderten weiterhin eine Reaktion des Teams. Jetzt ist der fehlende Teil hinzugekommen: Eine Version mit einem hohen Risikowert wird automatisch blockiert, bevor sie über die WordPress-Update-API verteilt wird.

Das ist ein wichtiger Unterschied. Das Repository sagt dem Autor nicht nur: „Im Code könnte es ein Problem geben“. In bestimmten Fällen sagt es auch: „Diese Version wird vorerst nicht weiter verteilt“. Autoren erhalten eine E-Mail mit den erkannten Problemen und können eine korrigierte Version vorbereiten oder einen Fehlalarm melden.

WebsiteGarage / Leistungen

Entdecke unsere Leistungen.

Sechs Stunden für die Prüfung, bevor das Update Websites erreicht

Seit dem 5. Juni 2026 durchlaufen neue Plugin- und Theme-Versionen auf WordPress.org vor der Verteilung eine Wartezeit. Derzeit beträgt sie sechs Stunden. In dieser Zeit werden Codeänderungen von mehreren KI-Modellen sowie Jetpack Scan analysiert, und die Ergebnisse werden verglichen und zu einer Risikobewertung zusammengeführt.

Bleibt das Ergebnis unterhalb der Blockierungsschwelle, geht die Version auf normalem Weg weiter. Wird die Schwelle überschritten, wird die Verteilung angehalten. WordPress betont dabei, dass ein hoher Wert nicht automatisch bedeutet, dass der Autor absichtlich schädlich gehandelt hat. Derselbe Alarm kann auch durch einen normalen, aber schwerwiegenden Sicherheitsfehler ausgelöst werden.

Das hat bereits die Auslieferung einer echten Backdoor verhindert

WordPress nennt ein konkretes Beispiel vom 28. Juli. In einer Version eines Plugins, das auf rund 20.000 Websites eingesetzt wurde, steckte eine Backdoor, also ein absichtlich eingebauter Weg für nicht autorisierten Zugriff. Der automatische Scan stufte die Version als hohes Risiko ein, und weil sie sich noch in der Wartezeit befand, wurde sie nicht über WordPress.org verteilt.

Laut Plugins Team wurde das Plugin selbst 26 Minuten nach der Meldung des Updates durch Wordfence für Downloads geschlossen. Dieser Fall war einer der Gründe, warum das Team entschied, dass ein hoher Scan-Wert die Verteilung selbst stoppen sollte, statt auf einen Menschen zu warten.

KI hat keinen „Ban“-Button bekommen. Sie ist Teil einer mehrstufigen Kontrolle

Es wäre leicht, diese Änderung als „KI entscheidet, welche Plugins sicher sind“ zu beschreiben, aber das wäre zu einfach. WordPress nutzt mehrere Modelle zusammen mit einem klassischen Sicherheitsscanner, die Ergebnisse werden gegenseitig geprüft, und der Mechanismus lässt weiterhin Fehlalarme sowie eine manuelle Beschwerde des Autors zu.

Interessanter ist etwas anderes: KI ist nicht mehr nur ein Werkzeug, das einem Reviewer oder Forscher hilft. Sie wird Teil der Infrastruktur für Softwareverteilung. Der Code wird bewertet, bevor ein Update in den WordPress-Dashboards der Websites erscheint.

Heißt das, dass Updates von WordPress.org jetzt „geprüft und sicher“ sind?

Die automatische Kontrolle verringert die Wahrscheinlichkeit, dass eine offensichtlich gefährliche Version unbemerkt durchkommt, ist aber kein Sicherheitszertifikat. Ein Scan kann etwas übersehen, und ein Problem kann sich erst in einer bestimmten Konfiguration oder in Kombination mit einem anderen Plugin zeigen.

Für Websitebetreiber ist die praktische Schlussfolgerung positiv, aber angenehm langweilig: Das offizielle Repository hat jetzt eine zusätzliche Barriere zwischen dem Code des Autors und dem Button „Aktualisieren“ in deinem WordPress. Backups und vernünftiges Testen von Updates sind deshalb weiterhin notwendig.

Kommentar von WebsiteGarage

Das ist einer dieser Fälle, in denen KI gerade deshalb sinnvoll ist, weil sie nicht versucht, einen allwissenden Administrator zu spielen. Sie bekommt eine sehr konkrete Aufgabe: sehr viele Änderungen prüfen, die Ergebnisse mehrerer Werkzeuge vergleichen und Dinge stoppen, die wirklich schlecht aussehen, bevor sie weiter verteilt werden.

Und das ist deutlich interessanter als der nächste Button mit „Schreib mir einen Blogbeitrag“. Wenn Automatisierung die Sicherheit von WordPress verbessern soll, sind solche Stellen ideal: wiederkehrende, massenhafte und zeitaufwendige Kontrollen, bei denen ein Mensch weiterhin eingreifen kann, wenn die Situation nicht eindeutig ist.