Was ist eine Zero-Day-Sicherheitslücke?
Eine Zero-Day-Sicherheitslücke (auch: Zero-Day-Exploit oder kurz 0-Day) bezeichnet eine Schwachstelle in Software, für die zum Zeitpunkt ihrer Entdeckung oder Veröffentlichung noch kein Patch (Sicherheitsupdate) existiert. Der Name leitet sich davon ab, dass dem Hersteller „null Tage" zur Verfügung standen, das Problem zu beheben, bevor es bekannt wurde.
Man unterscheidet dabei zwei Szenarien:
Szenario 1 – Unbekannte Schwachstelle: Die Lücke ist weder dem Hersteller noch der Öffentlichkeit bekannt, wird aber bereits von Angreifern ausgenutzt. Das ist die gefährlichste Variante – kein Mensch weiß, dass ein Problem besteht.
Szenario 2 – Bekannte, ungepatchte Schwachstelle: Die Schwachstelle ist öffentlich bekannt, hat eine CVE-Nummer, aber der Hersteller hat noch keinen Patch veröffentlicht. In diesem Zustand befinden sich viele WordPress-Plugin-Lücken für Tage bis Wochen.
Wie entsteht das Zero-Day-Fenster bei WordPress-Plugins?
Der typische Ablauf bei einer Plugin-Schwachstelle:
- Ein Sicherheitsforscher entdeckt die Lücke und meldet sie dem Plugin-Entwickler (Responsible Disclosure)
- Der Entwickler arbeitet an einem Fix – das kann Stunden, aber auch Wochen dauern
- Die Schwachstelle wird (mit oder ohne Patch) öffentlich in einer Vulnerability-Datenbank wie WPScan oder Patchstack gelistet
- Automatisierte Scanner beginnen sofort, das Netz nach betroffenen Installationen zu durchsuchen
In Schritt 3 und 4 liegt das Zero-Day-Fenster: Die Lücke ist bekannt, ein Patch ist vielleicht noch in Entwicklung – und Angreifer handeln schneller als Betreiber ihre Websites aktualisieren.
Besonders problematisch: Abandoned Plugins – Plugins, deren Entwickler den Support eingestellt haben. Hier gibt es gar kein Zero-Day-Fenster, das sich irgendwann schließt. Die Lücke bleibt offen, bis das Plugin von der Website entfernt wird.
Mehr dazu im Beitrag WordPress Sicherheitslücken: Der vollständige Leitfaden.
Schutz im Zero-Day-Fenster
Da es per Definition keinen Patch gibt, helfen andere Maßnahmen:
Web Application Firewall (WAF): Eine WAF kann bekannte Angriffsmuster blockieren, auch bevor ein offizieller Patch verfügbar ist. Cloud-basierte WAFs wie Cloudflare können neue Schutzregeln für Zero-Days innerhalb von Minuten weltweit ausrollen – das nennt sich virtueller Patch.
Vulnerability-Monitoring: Wer proaktiv überwacht, ob installierte Plugins in Sicherheitsdatenbanken auftauchen, erfährt von einer Zero-Day-Lücke unmittelbar – und kann entscheiden, ob das betroffene Plugin vorübergehend deaktiviert und ersetzt werden muss.
Backup: Im schlimmsten Fall ermöglicht ein aktuelles, extern gespeichertes Backup eine schnelle Wiederherstellung. → Mehr: Website-Backup
Zero-Day vs. N-Day
In der Sicherheitsbranche gibt es auch den Begriff N-Day: eine Schwachstelle, für die bereits ein Patch existiert, der aber noch nicht eingespielt wurde. Statistisch gesehen sind N-Day-Exploits verantwortlich für die große Mehrzahl der erfolgreichen Angriffe – nicht Zero-Days. Das bedeutet: Das konsequente Einspielen verfügbarer Updates schützt vor der häufigsten Angriffskategorie überhaupt.
Fazit
Zero-Day-Schwachstellen sind real und gefährlich – aber die größere Bedrohung für die meisten WordPress-Websites sind N-Days: bekannte Lücken mit verfügbarem Patch, die schlicht nicht rechtzeitig eingespielt wurden. Strukturiertes Update-Management, aktives Vulnerability-Monitoring und eine WAF als Pufferebene sind die wirkungsvollsten Gegenmaßnahmen.
