Der Fall vom 28. Juli 2026 zeigt das Zusammenspiel der Schutzmechanismen: Nachdem das Sicherheitsunternehmen Wordfence das Plugins-Team auf das Update aufmerksam gemacht hatte, wurde das betroffene Plugin binnen 26 Minuten für Downloads gesperrt. Den Namen des Plugins nannte WordPress nicht.
Grundlage dafür ist die seit dem 5. Juni 2026 geltende Regel, nach der jedes WordPress-Plugin und jedes Theme eine Abkühlphase durchläuft, bevor es über automatische Updates verteilt wird. Die Initiative läuft unter dem Namen Protect The Shire und soll durch bewusst eingebaute Reibung verhindern, dass bösartige Aktualisierungen unmittelbar bei Endnutzern landen. Die Wartezeit liegt derzeit bei sechs Stunden, nachdem sie anfangs 24 Stunden betragen hatte.
Die nun ergänzte automatisierte Prüfung soll eine weitere Lücke schließen. Künftig führt ein hoher Risikowert dazu, dass die Verteilung eines Releases automatisch angehalten wird – ohne manuelles Zutun des Plugins-Teams. Ein hoher Wert bedeutet dabei nicht zwangsläufig böse Absicht: In die Bewertung fließen ebenso unbeabsichtigt eingebaute Sicherheitsmängel ein wie absichtlich platzierte Schadsoftware.
Perez präzisierte in einem ergänzenden Kommentar, die Sicherheitsprüfung suche “nach denselben Schwachstellenklassen wie jedes Sicherheitsaudit”. Entwicklern empfahl er, sich an die WordPress Coding Standards zu halten und ihren Code mit den Regeln von PHP_CodeSniffer (PHPCS) zu validieren, um die Codequalität sicherzustellen. Wer Erweiterungen für WooCommerce veröffentlicht, soll die Testplattform Quality Insights Toolkit (QIT) nutzen.
Ist ein Release erst einmal blockiert, gibt es für Entwickler nur einen Weg zurück: die Befunde durchgehen, die Probleme beheben und eine neue Version veröffentlichen. Liegt diese unterhalb der Schwelle für ein hohes Risiko, durchläuft sie den üblichen Ablauf mit Abkühlphase.
Einen Einspruchsweg gibt es zwar, doch dämpft Perez die Erwartungen: “Wenn ein Befund falsch erscheint, können Autoren das Plugins-Team kontaktieren.” Man möge aber berücksichtigen, dass das Team ein hohes Prüfaufkommen bewältige – eine korrigierte Version zu veröffentlichen sei fast immer schneller, als auf eine manuelle Überprüfung des Einspruchs zu warten.