Yoast SEO Premium: Sicherheitslücke im Redirect Manager geschlossen
Yoast hat am 26. Mai 2026 ein Sicherheits-Patch für Yoast SEO Premium veröffentlicht — Version 27.6.1. Die Lücke betrifft den Redirect Manager und ermöglichte es authentifizierten Nutzern, über Sonderzeichen in Redirect-Feldern unerwünschten Code in die .htaccess-Datei einzuschleusen. Im schlimmsten Fall wäre Remote Code Execution möglich gewesen.
Die gute Nachricht: Die Mehrheit der Nutzer ist nicht betroffen. Die Lücke greift nur, wenn gleichzeitig drei Bedingungen erfüllt sind: Das Plugin Yoast SEO Premium, Yoast WooCommerce SEO oder Yoast SEO AI+ ist aktiv, der Server läuft auf Apache mit manuell aktiviertem .htaccess-Redirect-Modus, und ein Nutzer mit 'edit_posts'-Berechtigung hat Zugang zur Website.
Yoast hat drei Schutzschichten in den Patch integriert: Eingabe-Sanitierung (Sonderzeichen werden vor dem Speichern entfernt), Entfernung des betroffenen, ohnehin ungenutzten Endpunkts sowie eine neue In-Plugin-Warnung, die bei ungewöhnlichen Einträgen in Redirects oder .htaccess aktiv alarmiert.
Bisher gibt es laut Yoast keine bekannten Fälle, in denen die Lücke aktiv ausgenutzt wurde. Ein vollständiges Security Advisory soll in Kürze veröffentlicht werden.
Was das für deine Website bedeutet:
1. **Sofort-Check: Bist du betroffen?** Rufe in deinem WordPress-Backend folgende URL auf: [deine-domain.com]/wp-admin/admin.php?page=wpseo_redirects#/redirect-method — siehst du dort NICHT den .htaccess-Modus aktiviert, bist du nicht gefährdet. PHP-basierte Redirects (Standard) sind sicher.
2. **Update jetzt durchführen:** Falls du Yoast SEO Premium, Yoast WooCommerce SEO oder Yoast SEO AI+ nutzt, update sofort auf Version 27.6.1 über das WordPress-Plugin-Dashboard. Das dauert unter zwei Minuten. Auch wenn du nicht direkt betroffen bist, ist das Update empfohlen.
3. **Apache + .htaccess-Nutzer: Höchste Priorität.** Wenn dein Server auf Apache läuft und du den .htaccess-Redirect-Modus manuell aktiviert hast, ist das Update für dich nicht optional — es ist dringend. Prüfe zusätzlich deine .htaccess-Datei auf unbekannte oder unerwartete Einträge.
4. **Nutzerrechte überprüfen:** Prüfe, welche WordPress-Nutzer auf deiner Website die 'edit_posts'-Berechtigung haben. Reduziere Berechtigungen auf das notwendige Minimum — das ist generell gute Sicherheitspraxis und begrenzt das Angriffspotenzial bei zukünftigen Lücken.
5. **Neue In-Plugin-Warnung nutzen:** Nach dem Update zeigt Yoast aktiv eine Warnung an, wenn ungewöhnliche Einträge in deinen Redirects oder der .htaccess erkannt werden. Nimm diese Meldungen ernst und reagiere zeitnah.
Original-Artikel auf Yoast SEO Blog:
Security patch: Yoast SEO Premium 27.6.1 ↗Mehr lesen
Steht deine Website auch in ChatGPT?
Kostenlose SEO/GEO Analyse — wir zeigen dir wo deine Seite aktuell unsichtbar ist.
Jetzt prüfen lassen