Im Frühjahr 2026 ist eines der größten Sicherheitsdesaster im WordPress-Umfeld sichtbar geworden. Jemand hat das komplette Plugin-Angebot von Essential Plugin übernommen – über 30 Erweiterungen mit zusammen hunderttausenden Installationen – und in alle denselben Schadcode eingebaut. Monatelang schlief dieser Code wie ein eingebauter Hintereingang. Im April wurde er aktiviert.
Betroffen war unter anderem WP Team Showcase and Slider – ein Plugin für Team-Seiten und Slider, das auf vielen Unternehmenswebsites läuft, oft neben dem Premium-Theme Avada.
Wichtig vorweg: Avada selbst war nicht das Problem. Das Theme war in dem Fall nur der Rahmen, nicht die Ursache. Typisch ist aber genau dieses Muster: Eine harmlose Zusatz-Erweiterung wird installiert, wirkt monatelang normal – und liefert dann Schaden auf tausende Websites aus. Wer eine Avada-Website mit Slider-, Team- oder Galerie-Plugins betreibt, sollte deshalb verstehen, was passiert ist und warum ein einfaches Plugin-Update nicht reicht.
Inhaltsverzeichnis
Wie der Angriff funktionierte
Warum der Schadcode so schwer zu entdecken ist
WP Team Showcase and Slider im Fokus
Was wir in der Praxis getan haben
Warum Avada-Websites besonders betroffen sein können
Fazit
Wie der Angriff funktionierte
Der Angriff begann nicht mit einem klassischen Einbruch, sondern mit einem Eigentümerwechsel. Das gesamte Essential-Plugin-Portfolio wurde verkauft. In Updates mit harmlos klingenden Hinweisen wie „Kompatibilität mit WordPress 6.8.2 geprüft“ steckte ab August 2025 bereits Schadcode – versteckt in einem gemeinsamen Analyse-Modul, das viele dieser Plugins teilten.
Sicherheitsforscher von Patchstack und Anchor Hosting beschreiben: Der Code schlief zunächst. Erst Anfang April 2026 wurde er aktiv geschaltet.
In einem kurzen Zeitfenster – Berichten zufolge rund sechs Stunden am 6. April 2026 – passierte auf betroffenen Websites Folgendes:
- Das Plugin rief einen fremden Server auf und lud Schadcode nach – wie ein Paket, das heimlich an die Haustür geliefert wird.
- Es legte eine Datei namens wp-comments-posts.php an – absichtlich fast identisch benannt wie eine echte WordPress-Datei (wp-comments-post.php), damit sie auf den ersten Blick unauffällig wirkt.
- In die wp-config.php – die zentrale Konfigurationsdatei jeder WordPress-Installation, vergleichbar mit dem Schaltkasten eines Hauses – wurde ein großer Block fremden Codes eingefügt.
Genau dieses Muster haben wir in einer betroffenen Avada-Website analysiert: Die Konfigurationsdatei war plötzlich deutlich größer, obwohl im Backend zunächst alles normal aussah. Erst die offizielle Warnung des WordPress.org Plugin-Teams im Admin-Bereich machte die Kompromittierung eindeutig – mit dem klaren Hinweis, die wp-config.php auf unautorisierte Änderungen zu prüfen.
Warum der Schadcode so schwer zu entdecken ist
Der Angreifer hat die Website nicht einfach „kaputt“ gemacht oder eine auffällige Startseite hinterlassen. Stattdessen wurde sie heimlich für Suchmaschinen-Manipulation missbraucht.
Der Schadcode erkennt, wer gerade auf die Seite zugreift – und verhält sich entsprechend. Für Website-Betreiber, eingeloggte Administratoren und viele technische Wartungsvorgänge schaltet er sich ab. Er läuft dagegen weiter, wenn Google die Seite besucht. Das Ergebnis: Im eigenen Browser sieht man oft nichts Verdächtiges. Google kann dagegen manipulierte Links, falsche Weiterleitungen oder komplett eingeschleuste Spam-Inhalte sehen.
Besonders raffiniert ist die Art, wie der Angreifer seine Befehle empfängt. Statt einer festen Adresse im Internet nutzt der Schadcode die Ethereum-Blockchain – im Grunde ein öffentliches digitales Register –, um herauszufinden, welcher Server gerade die Anweisungen ausgibt. Stellt man eine Adresse ab, kann der Angreifer auf eine neue umschalten, ohne die kompromittierte Website erneut anzufassen. Das ist, als würde man eine Telefonnummer sperren – und der Anrufer wechselt einfach die SIM-Karte.
Kurz gesagt: Kein sichtbarer Hack, sondern eine professionell gebaute Kampagne für SEO-Spam und versteckte Links.
WP Team Showcase and Slider im Fokus
WP Team Showcase and Slider war für Team-Seiten, Slider und Karussells gedacht – ein typisches Zusatz-Plugin neben einem Theme wie Avada. In betroffenen Versionen steckte derselbe Schadcode wie in den übrigen Plugins des Anbieters. Die Sicherheitslücke ist inzwischen unter CVE-2026-6443 mit höchster Kritikalität gelistet – ein offizieller Eintrag, der bestätigt: Hier handelt es sich um eine ernsthafte, bekannte Bedrohung.
WordPress.org hat das gesamte Portfolio am 7. April 2026 dauerhaft geschlossen und ein erzwungenes Update ausgerollt, das die Kommunikation des Plugins mit dem Angreifer unterbindet. Das reicht aber nicht aus. Wie mehrere unabhängige Analysen betonen, bleiben typischerweise bestehen:
- der eingefügte Code in der wp-config.php,
- die Datei wp-comments-posts.php im Hauptverzeichnis der Website,
- mögliche Spuren in der Datenbank, unbekannte Admin-Zugänge oder weitere versteckte Dateien.
Wer nur auf „Plugin aktualisieren“ setzt, behandelt die Symptome – nicht die Infektion. Das ist, als würde man bei einem Wasserschaden nur das nasse Tuch weglegen, aber die undichte Leitung nicht reparieren.
Was wir in der Praxis getan haben
In dem konkreten Fall – einer Avada-basierten WordPress-Website mit geschäftskritischem Online-Auftritt – lief die Reaktion Schritt für Schritt ab:
- Kompromittierung bestätigen – über die WordPress-Warnung, einen Dateivergleich und die Prüfung der Konfigurationsdatei.
- Schadcode entfernen – aus der wp-config.php und die Dropper-Datei wp-comments-posts.php löschen.
- Plugin komplett entfernen – nicht nur deaktivieren, sondern aus dem Plugin-Verzeichnis löschen.
- Weitere Spuren suchen – nach weiteren Essential-Plugin-Erweiterungen, unbekannten Dateien und auffälligen Zugangspunkten.
- Alle Zugangsdaten erneuern – WordPress-Admins, Datenbank, Server-Zugang und Sicherheitsschlüssel in der Konfiguration.
- Website beobachten – aus Sicht von Nutzern und Suchmaschinen, um SEO-Nachwirkungen früh zu erkennen.
Ein sauberes Backup von vor dem 5. April 2026 wäre ideal gewesen. Fehlt es, bleibt nur der manuelle Weg – aufwendig, aber notwendig.
Checkliste für betroffene oder verdächtige Websites:
- Alle Essential-Plugin-Erweiterungen im Plugin-Verzeichnis suchen und entfernen
- Die wp-config.php prüfen: Ist die Datei plötzlich viel größer? Steht am Ende unbekannter Code?
- Im Hauptverzeichnis nach wp-comments-posts.php suchen – diese Datei darf in einer sauberen Installation nicht existieren
- Server-Logs prüfen, ob Kontakte zu analytics.essentialplugin.com stattfanden
- Die Website mit Sicherheitstools wie Wordfence oder Patchstack vollständig scannen
- Die Google Search Console auf ungewöhnliche Seiten und Spam-URLs überwachen
Warum Avada-Websites besonders betroffen sein können
Avada ist eines der meistgenutzten Premium-Themes weltweit. Viele Agenturen kombinieren es mit Zusatz-Plugins für Slider, Teams, Popups oder Galerien – genau die Kategorie, die Essential Plugin bedient hat. Das Theme selbst war nicht angreifbar, aber der Plugin-Bestand drumherum wächst oft über Jahre: Neue Funktionen werden nachinstalliert, Updates laufen automatisch, und niemand liest jeden Änderungshinweis im Detail.
Genau dort entsteht das Risiko: Vertrauen in bekannte Plugin-Namen, kombiniert mit Eigentümerwechseln, die von außen kaum sichtbar sind. Wer WordPress als Geschäftsplattform nutzt, braucht deshalb nicht weniger Sorgfalt, sondern mehr – unabhängig vom Theme.
Präventiv hat sich in unseren Projekten bewährt:
- Eine Liste aller installierten Plugins führen und Eigentümerwechsel im Blick behalten
- Automatische Updates nur mit Monitoring und einer Testumgebung kombinieren
- Wichtige Dateien wie die wp-config.php regelmäßig auf unerwartete Änderungen prüfen
- Wartung und Notfall-Prozesse fest definieren, statt erst im Ernstfall zu improvisieren
Wer WordPress professionell betreiben will – ob mit Avada, einem anderen Theme oder einem individuellen Setup – sollte Sicherheit und Wartung von Anfang an mitdenken. Ein belastbarer Rahmen dafür beginnt oft bei einem professionellen WordPress-Setup, das klare Regeln für Plugins, Backups und Reaktionswege im Notfall vorgibt.
Fazit
Der Essential-Plugin-Backdoor und der Fall WP Team Showcase and Slider sind ein Weckruf: Angriffe kommen nicht nur über unbekannte Nischen-Plugins, sondern über etablierte Namen mit tausenden Installationen. Auf Avada-Websites zeigt sich das besonders deutlich, weil dort oft viele Erweiterungen parallel laufen – und ein einziges kompromittiertes Plugin die gesamte Website infizieren kann.
Wer heute noch eines der betroffenen Plugins nutzt oder die WordPress.org-Warnung im Backend gesehen hat, sollte sofort handeln: Plugin entfernen, Dateien bereinigen, Zugangsdaten erneuern und die Website gründlich prüfen. Ein reines Update ist keine Entwarnung.
Sie vermuten eine Kompromittierung auf Ihrer WordPress- oder Avada-Website – oder wollen Ihren Betrieb präventiv absichern? Dann kontaktieren Sie uns. Wir analysieren betroffene Systeme, bereinigen Schadspuren und richten einen stabilen Wartungs- und Sicherheitsprozess ein.
