Foxit- und WordPress-Lücken: Was jetzt zu tun ist

Sicherheitslücken tauchen selten allein auf, und die zweite Augustwoche 2026 macht da keine Ausnahme. Das Bürger-CERT des BSI hat am 13. August gleich zwei Warnungen veröffentlicht, die sehr unterschiedliche Softwarewelten betreffen: den weit verbreiteten Foxit PDF Reader samt Foxit PDF Editor auf der einen Seite und das Content-Management-System WordPress auf der anderen. Beide Meldungen klingen zunächst technisch, betreffen aber sehr konkrete Alltagssituationen – vom PDF-Dokument im Posteingang bis zur eigenen Website.

Was die beiden Fälle verbindet, ist ein Muster, das sich durch fast jede aktuelle Sicherheitsdebatte zieht: Angreifer setzen weniger auf spektakuläre Technik als auf Vertrauen und Nachlässigkeit. Bei Foxit geht es darum, Nutzer mit falschen Informationen in die Irre zu führen. Bei WordPress geht es um eine Funktion, die eigentlich harmlos wirkt, sich aber missbrauchen lässt. Wir ordnen beide Warnungen ein, erklären die Hintergründe und zeigen, welche Schritte jetzt sinnvoll sind.

Die Foxit-Lücke: Wenn eine Signatur lügt

Der Foxit PDF Reader ist für viele Anwender die kostenlose Alternative zu Adobe Acrobat. Er öffnet, zeigt und kommentiert PDF-Dateien, der zugehörige Foxit PDF Editor geht darüber hinaus und erlaubt das Bearbeiten. Millionen Menschen nutzen die Programme im Büro und privat, oft ohne groß darüber nachzudenken – ein PDF gilt vielen als vertrauenswürdiges, unveränderliches Format.

Genau dieses Vertrauen steht im Zentrum der aktuellen Schwachstelle. Laut Warnung des BSI Bürger-CERT existiert in Foxit PDF Reader und Foxit PDF Editor eine Lücke, die es einem Angreifer ermöglicht, falsche Informationen darzustellen. Konkret geht es um irreführende Signaturinformationen: Ein manipuliertes Dokument kann so aufbereitet sein, dass die Software eine Signatur als gültig oder vertrauenswürdig anzeigt, obwohl das Dokument in Wahrheit verändert oder gefälscht wurde.

Digitale Signaturen sollen eigentlich das Gegenteil bewirken. Sie sind das digitale Pendant zur Unterschrift und zum Siegel: Sie belegen, wer ein Dokument erstellt oder freigegeben hat, und sie zeigen an, ob der Inhalt seit der Signatur unverändert geblieben ist. Verträge, Rechnungen, Behördenschreiben oder Zeugnisse setzen auf dieses Prinzip. Wenn eine Software eine Signatur fälschlich als korrekt ausweist, bricht dieses Fundament weg.

Warum das besonders heikel ist

Die Gefahr liegt weniger im technischen Detail als in der psychologischen Wirkung. Sieht ein Nutzer in seinem PDF-Programm einen grünen Haken oder den Hinweis auf eine gültige Signatur, sinkt seine Wachsamkeit erheblich. Genau das machen sich Angreifer zunutze. Ein gefälschter Zahlungsbeleg, ein manipulierter Vertragsentwurf oder ein untergeschobenes Behördenschreiben wirkt mit einer scheinbar bestätigten Signatur deutlich glaubwürdiger als ohne.

Solche Lücken zählen nicht zu den lautesten Sicherheitsproblemen – sie verursachen keinen Absturz und übernehmen nicht direkt den Rechner. Aber sie sind ein klassischer Baustein für Betrug und Social Engineering. Der Angreifer braucht kein technisches Eindringen, er braucht nur, dass sein Opfer dem manipulierten Dokument glaubt. Deshalb sollte man diese Kategorie von Schwachstellen nicht unterschätzen, auch wenn sie auf den ersten Blick unspektakulär wirkt.

Die WordPress-Lücke: vom Datei-Upload zum fremden Code

Der zweite Fall betrifft eine völlig andere Zielgruppe: Betreiber von Websites. WordPress ist das mit Abstand meistgenutzte Content-Management-System der Welt und steckt hinter einem erheblichen Teil aller Websites im Netz – von privaten Blogs über Vereinsseiten bis zu großen Unternehmensauftritten. Diese Reichweite macht das System zu einem Dauerziel für Angreifer.

Die aktuelle BSI-Warnung zu WordPress beschreibt eine Schwachstelle, über die ein entfernter, authentisierter Angreifer beliebigen Programmcode ausführen kann. Der Fehler entsteht dadurch, dass sich eine bösartige PostScript-Datei hochladen lässt. Über diesen Umweg kann ein Angreifer Code einschleusen, der anschließend auf dem Server ausgeführt wird.

Was "authentisiert" konkret bedeutet

Ein wichtiges Detail steckt im Wort "authentisiert". Der Angreifer muss angemeldet sein, also über gültige Zugangsdaten und eine Rolle im System verfügen. Das entschärft die Lücke im Vergleich zu einer Schwachstelle, die sich von völlig außen ohne jedes Konto ausnutzen ließe. Ganz beruhigen sollte einen das jedoch nicht.

Denn Zugangsdaten sind in der Praxis oft leichter zu bekommen, als es klingt. Auf vielen WordPress-Seiten existieren mehrere Konten mit unterschiedlichen Rechten – Redakteure, Autoren, externe Dienstleister. Schwache Passwörter, wiederverwendete Logins aus Datenlecks oder ein gekapertes Redakteurskonto reichen mitunter aus, um den Fuß in der Tür zu haben. Wer erst einmal ein gültiges Konto besitzt, kann über eine solche Lücke deutlich mehr anrichten, als seine eigentliche Rolle erlauben würde. Genau das ist das Gefährliche an Schwachstellen, die zu Remote Code Execution führen: Aus einem eingeschränkten Zugang wird die vollständige Kontrolle über den Server.

Warum PostScript und Datei-Uploads ein Risiko sind

Datei-Uploads gehören zu den heikelsten Funktionen jeder Webanwendung. Sobald Nutzer eigene Dateien auf einen Server laden dürfen, muss die Software sehr genau prüfen, was da eigentlich ankommt. PostScript ist eine Seitenbeschreibungssprache, die ursprünglich für den Druck gedacht war, aber weit mehr kann als nur Layouts darzustellen. Wird eine solche Datei unzureichend geprüft und anschließend von einer verarbeitenden Komponente ausgewertet, lässt sich darüber Schadcode einschleusen. Das BSI benennt genau diesen Mechanismus als Ursache der Schwachstelle.

Zwei Warnungen, ein gemeinsames Muster

Auf den ersten Blick haben ein PDF-Reader und ein Website-System wenig gemeinsam. Doch beide Fälle folgen einem vertrauten Drehbuch. In beiden geht es darum, dass Software eine Eingabe – hier ein Dokument, dort eine hochgeladene Datei – nicht streng genug prüft und der Nutzer oder der Server daraufhin etwas als vertrauenswürdig behandelt, das es nicht ist.

Dieses Muster erklärt auch, warum Sicherheitsbehörden wie das BSI kontinuierlich warnen. Es geht nicht um einzelne, exotische Bugs, sondern um wiederkehrende Schwachpunkte, die sich durch die gesamte Softwarelandschaft ziehen. Für Anwender bedeutet das vor allem eines: Der Schutz hängt selten an einer einzigen Maßnahme, sondern an einer Kombination aus aktueller Software, gesundem Misstrauen und sauber verwalteten Zugängen.

Das größere Bild: Betrug spielt sich zunehmend im Alltag ab

Parallel zu diesen beiden Warnungen berichten aktuell mehrere Medien über Betrugsmaschen, die auf sehr menschliche Schwächen setzen – etwa über Nachrichtendienste, wo Opfer mit vermeintlich harmlosen Bitten wie einem Abstimmungslink oder einer Stimmabgabe geködert werden. Auch die Betreiber solcher Dienste arbeiten an Schutzmechanismen, die verdächtige Muster erkennen sollen.

Der rote Faden ist derselbe wie bei der Foxit-Lücke: Angreifer zielen auf Vertrauen. Ob es die scheinbar gültige Signatur in einem PDF ist, die Nachricht eines vermeintlichen Bekannten oder der überzeugende Absender einer E-Mail – die Technik ist oft nur das Beiwerk. Entscheidend ist, dass das Opfer etwas glaubt, das nicht stimmt. Wer sich das bewusst macht, reagiert bei ungewöhnlichen Anfragen und zu perfekt wirkenden Dokumenten von vornherein vorsichtiger.

Was bedeutet das für dich?

Ob du Foxit nutzt, eine WordPress-Seite betreibst oder einfach nur täglich mit PDFs und Nachrichten hantierst – aus den beiden BSI-Warnungen lassen sich konkrete Schritte ableiten.

Wenn du Foxit PDF Reader oder Editor verwendest:

• Halte die Software aktuell und installiere die vom Hersteller bereitgestellten Updates zeitnah. Sicherheitslücken werden mit neuen Versionen geschlossen.
• Verlasse dich bei wichtigen Dokumenten nicht allein auf die angezeigte Signatur. Prüfe bei Verträgen, Rechnungen oder Behördenschreiben zusätzlich, ob Absender und Inhalt plausibel sind.
• Sei besonders skeptisch bei PDFs aus unerwarteten Quellen, etwa aus E-Mail-Anhängen von unbekannten Absendern.
• Öffne im Zweifel eine wichtige Datei in einem zweiten Programm, um die Signaturprüfung gegenzuchecken.

Wenn du eine WordPress-Website betreibst:

1. Spiele verfügbare Updates für WordPress, Themes und Plugins so schnell wie möglich ein. Aktualität ist die wichtigste einzelne Schutzmaßnahme.
2. Vergib Benutzerrollen sparsam. Nicht jeder braucht Administratorrechte, und je weniger Konten hohe Berechtigungen haben, desto kleiner die Angriffsfläche.
3. Erzwinge starke, einzigartige Passwörter und aktiviere nach Möglichkeit eine Zwei-Faktor-Authentifizierung für alle Konten.
4. Prüfe regelmäßig, welche Konten existieren, und entferne nicht mehr benötigte Zugänge – besonders die von ehemaligen Dienstleistern.
5. Beschränke Datei-Uploads auf das Nötige und lege regelmäßige Backups an, damit du im Ernstfall einen sauberen Stand wiederherstellen kannst.

Für alle, unabhängig von der konkreten Software:

• Behandle jede unerwartete Datei und jede ungewöhnliche Nachricht mit einer gesunden Portion Misstrauen, auch wenn sie professionell und vertrauenswürdig wirkt.
• Aktiviere automatische Updates dort, wo es möglich ist – für Betriebssystem, Browser und häufig genutzte Programme.
• Verlasse dich nicht auf ein einzelnes Sicherheitssignal wie einen grünen Haken, sondern bewerte den Gesamtkontext.

Wie ernst ist die Lage wirklich?

Panik ist bei beiden Meldungen nicht angebracht, Ignorieren aber ebenso wenig. Die Foxit-Lücke führt nicht direkt zur Übernahme deines Rechners, sondern schafft die Voraussetzung für Täuschung und Betrug. Ihr Schadenspotenzial hängt stark davon ab, wie sehr du dich im Alltag auf Signaturanzeigen verlässt. Wer regelmäßig signierte Dokumente empfängt und verarbeitet, sollte die Warnung ernst nehmen.

Die WordPress-Lücke ist technisch gravierender, weil sie im schlimmsten Fall die Ausführung von fremdem Code auf dem Server erlaubt. Dass ein Angreifer dafür ein gültiges Konto braucht, senkt das Risiko, hebt es aber nicht auf. Für Website-Betreiber gilt daher die einfache Regel: Updates einspielen und die eigenen Zugänge im Griff behalten. Beides zusammen entschärft den Großteil der Gefahr.