Design und Betrieb der Website
Von PHP-Schwachstellen inspirierte Alternativen zu WordPress
Vergleichen Sie, ob Sie mit WordPress fortfahren oder zu einer statischen Site oder einem verwalteten CMS wechseln möchten. Wir erläutern die WAF von Cloudflare, das Anfrageformular und Preisbeispiele für den allgemeinen Gebrauch und den Unternehmensgebrauch mit Illustrationen.
Nachdem sie die Reaktion auf WordPress-Schwachstellen erlebt haben, fragen sich manche vielleicht: „Können wir weiterhin mit demselben System arbeiten?“ Auch wenn Sie nach einem neuen Ziel suchen, gibt es viele Fachterminologien und es kann schwierig sein zu verstehen, was sich ändern wird.
In diesem Artikel wird erläutert, wie Sie WordPress weiterhin verwenden und zu einem anderen System wechseln können, wenn Sie persönliche Blogs, Hobby-Websites und Unternehmensseiten betreiben. Außerdem werden wir Sicherheitsmaßnahmen, Kontaktformulare und Preisrichtlinien bei der Nutzung von Cloudflare einführen.
Das Beenden von WordPress ist nicht für alle Websites die Lösung. Durch Sortieren der „notwendigen Funktionen“, „Person, die das Update durchführt“ und „Person, die für die Wartung verantwortlich ist“ können Sie die Methode finden, die zu Ihnen passt.
Bei diesem Artikel handelt es sich um einen Vergleich und eine Designüberlegung basierend auf offiziellen Materialien. Es werden keine tatsächlichen Ergebnisse der Migrationsarbeit, der Angriffsreproduktion oder der Kostenreduzierung dargestellt.
Das Problem liegt dieses Mal in PHP, dem Fundament von WordPress.
WordPress ist eine Software zum Posten und Verwalten von Artikeln. Einer der Mechanismen, die diesen Vorgang unterstützen, ist PHP, das auf dem Server läuft.
Im Oktober 2026 wurden die folgenden schwerwiegenden Schwachstellen in PHP bekannt gegeben. Eine Schwachstelle ist eine Schwachstelle einer Software, die bei einem Angriff ausgenutzt werden kann.
- CVE-2026-109618:Wenn die Verarbeitung aufgrund von unzureichendem Speicher unterbrochen wird, verarbeitet die Nachverarbeitung unvollständige interne Daten.
- CVE-2026-109619: Ein Problem, bei dem interne Informationen, die auf den verwendeten Speicher verweisen, bestehen bleiben und nachfolgende Anfragen auf die alten Informationen verweisen.
Bedingungen können es externen Parteien ermöglichen, beliebigen Code auf Ihrem Server auszuführen. Dies ist ein separates Problem von WordPress selbst, daher müssen Sie neben der Aktualisierung von WordPress und Plugins auch auf PHP-Seite nach Korrekturen suchen.
Die Versionen, in denen der Fix erstmals bereitgestellt wurde, sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Bitte überprüfen Sie die Anweisungen Ihres Hosting-Unternehmens oder Betriebssystemanbieters für tatsächlichen Support. Zusätzlich zur Versionsnummer müssen Sie prüfen, ob der Anbieter Korrekturen vorgenommen hat.
Referenz: IPA: Aktuelle PHP-Schwachstellen und Gegenmaßnahmen / PHP-Beamter: OOM-Verarbeitungsproblem ／ PHP-Beamter: Problem mit verbleibendem alten internen Status
Überprüfen Sie zunächst den Kompatibilitätsstatus des von Ihnen genutzten Dienstes und nehmen Sie gegebenenfalls Korrekturen vor. Auch bei Verdacht auf einen Verstoß ist eine Untersuchung und Wiederherstellung erforderlich. Der bloße Wechsel zu einem anderen Dienst bedeutet nicht, dass der bestehende Verstoß behoben ist.
Bevor Sie nach einer Alternative suchen, organisieren Sie den Schreibstil Ihres Artikels und die erforderlichen Funktionen
Ich möchte meinen Vergleich damit beginnen, wie ich normalerweise aktualisiere. Möchten Sie von Ihrem Smartphone aus schreiben oder können Sie die Datei auf Ihrem Computer bearbeiten? Benötigen Sie Kommentare, Mitgliedschaftsregistrierung und Verkaufsfunktionen? Ihre Optionen ändern sich entsprechend.
Option 1: Fahren Sie mit WordPress fort und überprüfen Sie die Wartung
Wenn Sie den aktuellen Bearbeitungsbildschirm und die Funktionen als benutzerfreundlich empfinden, haben Sie die Möglichkeit, fortzufahren. Plugins sind Komponenten, die Funktionalität hinzufügen. Entscheiden Sie, wer für die Aktualisierung der Haupteinheit, der Plugins, des Themes und von PHP sowie für das Verfahren zur Wiederherstellung aus dem Backup verantwortlich ist.
Wenn Sie die Wartung einem Wartungsunternehmen oder einem Managed Service anvertrauen, prüfen Sie den Umfang der Arbeiten, einschließlich der Frage, ob diese in der Lage sind, Plug-in-Probleme und die Wiederherstellung zu bewältigen.
Referenz: Offizieller WordPress-Sicherheitsleitfaden
Option 2: Verwenden Sie ein verwaltetes CMS oder einen Website-Erstellungsdienst
CMS ist ein System, mit dem Sie Artikel über einen Browser erstellen und verwalten können. Handelt es sich um einen Managed Service, können Sie ggf. die Wartung von Servern etc. dem Betreiber überlassen. Der Verantwortungsbereich variiert je nach Dienst.
Neben dem Bearbeitungsbildschirm, der Benutzerfreundlichkeit auf Japanisch, den notwendigen Funktionen und der Preisgestaltung prüfen wir, ob Sie Artikel und Bilder exportieren und zu einem anderen Dienst wechseln können. Wir werden hier nicht bestimmte Dienste in Bezug auf die Sicherheit bewerten.
Option 3: Machen Sie daraus eine statische Site
Eine statische Site ist eine Methode zum Verteilen vorgefertigter Seiten. Kandidaten sind Websites, die hauptsächlich Texte und Bilder veröffentlichen. Andererseits muss der Buchungsbildschirm separat erstellt werden.
Es gibt Möglichkeiten, Seitendateien namens HTML direkt zu bearbeiten, Tools zu verwenden, die Seiten aus Manuskripten generieren, und sie zur Bearbeitung mit einem CMS zu kombinieren. Je mehr Sie die einfache Aktualisierung kompensieren, desto mehr Mechanismen müssen Sie pflegen.
Cloudflare verfügt über Dienste für die Seitenverteilung und Sicherheitsmaßnahmen, aber wenn man einfach „Pages“ oder „Workers Static Assets“ auswählt, wird kein Posting-Bildschirm wie bei WordPress angezeigt. „Wie schreibe ich Artikel?“ und „Wo werden Seiten verteilt?“ werden getrennt betrachtet.
| Worauf ich mich konzentrieren möchte | Zu berücksichtigende Richtung |
|---|---|
| Möchten Sie ganz einfach auf Ihrem Smartphone oder Browser posten? | Einfach zu bedienendes CMS mit WordPress-Fortsetzungs- oder Bearbeitungsbildschirm |
| Ich möchte, dass mehrere Personen es bearbeiten und genehmigen | CMS mit Berechtigungsverwaltung und Genehmigungsfunktionen |
| Es können hauptsächlich Texte und Bilder bearbeitet werden, aber auch Dateien können bearbeitet werden. | Statisches HTML- oder Seitengenerierungstool |
| Mitgliedschafts-/Zahlungs-/Kaufhistorie erforderlich | Erwägen Sie die Einbeziehung dedizierter Dienste und dynamischer Verarbeitung |
Reduzieren Sie Angriffe im Voraus mit der WAF von Cloudflare
Cloudflare verfügt über eine WAF, die verdächtige Kommunikation vor der Website überprüft. Es spielt eine ähnliche Rolle wie die Sicherheit an einer Rezeption und kann Kommunikationen blockieren, die bekannten Angriffen ähneln, und den Zugriff nach Quelle oder Sendehäufigkeit einschränken.
Free verfügt über Regeln für einige Bedrohungen, und Pro und höher verfügen über eine größere Auswahl verwalteter Regeln. Verwaltete Regeln sind Beurteilungsregeln, die von Cloudflare erstellt und aktualisiert werden. DDoS-Gegenmaßnahmen sind Gegenmaßnahmen gegen Angriffe, die eine Website aufgrund eines großen Datenverkehrsaufkommens unbrauchbar machen.
Schutzregeln für diese PHP-Schwachstelle wurden ebenfalls veröffentlicht. Abhängig von den Einstellungen gibt es jedoch Einsatzbedingungen und es handelt sich um eine Gegenmaßnahme gegen bekannte Angriffe. Daraus lässt sich nicht schließen, dass Sie PHP nicht aktualisieren müssen, wenn Sie Cloudflare verwenden.
Referenz: WAF-Funktionsvergleich / WAF-Gegenmaßnahmen und Bedingungen für diese PHP-Schwachstelle
Wenn sich der ursprüngliche Server separat befindet, sind außerdem Maßnahmen erforderlich, um eine Umgehung der WAF durch direkten Zugriff auf diesen Server zu verhindern. Berücksichtigen Sie auch bei statischen Websites Probleme wie die Übernahme öffentlicher Konten, Probleme mit externen Diensten und unaufgeforderte Formularübermittlungen.
Stellen Sie einfach eine Anfrage und überlassen Sie die Abwicklung Cloudflare.
Dies bedeutet nicht, dass Sie auf einer statischen Website keine Anfragen stellen können. Die Seite bleibt statisch und Sie können die Verarbeitung nur dem Teil hinzufügen, der Anfragen akzeptiert.
Workers ist ein Dienst, der kleine Programme wie den Formularempfang auf Cloudflare ausführt. Turnstile ist ein Mechanismus zur Reduzierung des Versands durch Bots, und Email Service ist für den Versand von Benachrichtigungs-E-Mails verantwortlich.
Das Versenden einer E-Mail ist kostenlos, wenn Sie lediglich eine verifizierte Administratoradresse benachrichtigen möchten. Um Anfragen automatisch zu beantworten, verwenden Sie E-Mail-Versand und Workers Paid, die an jeden Empfänger gesendet werden können. Der E-Mail-Versand befindet sich zum Zeitpunkt der Informationsbestätigung in der Betaphase.
Email Routing ist ein Dienst, der an Ihre eigene Domain adressierte E-Mails an Ihren bestehenden Posteingang weiterleitet. Es bietet per se keinen Posteingang zum Lesen von E-Mails. Auch die Benachrichtigung des Administrators über ein Formular und die Weiterleitung von E-Mails an Ihre eigene Domain sind separate Funktionen.
Um den Verlust von Anfragen zu vermeiden, konzipieren wir auch eine Anleitung für den Fall einer fehlgeschlagenen Übertragung, die Abwicklung von erneuten Übermittlungen und eine Empfangsbestätigung. Es ist auch wichtig, in einem Formular nicht zu viele vertrauliche Informationen abzufragen und zu entscheiden, wo diese gespeichert werden sollen, wer sie einsehen kann und wie lange sie aufbewahrt werden sollen. Wenn Sie über einen bestehenden E-Mail-Dienst verfügen, stellen Sie sicher, dass Sie nicht versehentlich die DNS-Einstellungen ändern, die die Empfänger bestimmen.
Für Turnstile ist JavaScript in Ihrem Browser erforderlich. Wir stellen Ihnen alternative Kontaktmöglichkeiten zur Verfügung, damit Sie uns auch dann kontaktieren können, wenn die Anfrage ungültig ist oder die Übermittlung fehlschlägt. Der Site-Text und das Inhaltsverzeichnis können vom Formular getrennt und so konfiguriert werden, dass sie in normalem HTML lesbar sind.
Referenz: So validieren Sie Turnstile / Übersicht über den E-Mail-Dienst / Konfigurieren E-Mail-Weiterleitung
Wie viel kostet es für die allgemeine Nutzung/Firmennutzung?
Das Folgende ist ein Konfigurationsbeispiel, das von einer statischen Site mit einer Domain und einem kleinen Anfrageformular ausgeht. Beinhaltet keine Zusatzleistungen wie CMS-Posting-Bildschirm, Mitgliedschafts-/Zahlungsfunktionen, Anhangsspeicherung, Überwachung/Erneutversand. Wenn Sie WordPress behalten möchten, müssen Sie den Server separat bezahlen.
Beträge sind in US-Dollar angegeben, Stand: 25. Oktober 2026. Steuern, Wechselkurse, Erwerb und Erneuerung einzigartiger Domains, Posteingänge sowie Arbeitskosten für Produktion und Wartung sind nicht enthalten. Betrachten Sie es als „monatliche Mindestgebühr + Betrag über die enthaltene Nutzung hinaus“.
Allgemeine Verwendung: Wenn Sie nur den Administrator benachrichtigen möchten, beginnen Sie mit der kostenlosen Stufe.
Für persönliche Blogs, Hobbyseiten usw. wäre es schön, Anfragen in Ihrem eigenen Posteingang sehen zu können. Es erfolgt keine automatische Antwort und das Übertragungsergebnis wird auf dem Bildschirm angezeigt.
| Zweck | Was zu verwenden ist | Geschätzte monatliche Gebühr |
|---|---|---|
| Seitenlieferung | Pages／Workers Static Assets | $0 |
| Sicherheitsmaßnahmen am Eingang | Kostenloser Website-Plan | $0 |
| Anti-Bot-Maßnahmen | Turnstile Free | $0 |
| Anfrageempfang | Workers Free | 0 $ (innerhalb des kostenlosen Kontingents) |
| Administratorbenachrichtigung | An bestätigtes Ziel senden | $0 |
| Ungefähre Gesamtzahl | 0 $ (kostenloses Kontingent/begrenzt) | |
Ob das kostenlose Kontingent ausreicht, hängt nicht nur von der Anzahl der Zugriffe ab, sondern auch von der Bearbeitungszeit und der Implementierung. Auch wenn die Benachrichtigungs-E-Mail an den Administrator kostenlos ist, gibt es weitere Einschränkungen bei der Ausführung des Empfangsprogramms.
Unternehmensnutzung: Automatische Antwort und kostenpflichtiges WAF hinzufügen
Dies ist ein Beispiel für die Rücksendung einer Empfangs-E-Mail an den Anfragenden und die Verwendung umfassenderer WAF-Regeln. Das bedeutet nicht, dass Sie diesen Plan unbedingt benötigen, nur weil Sie ein Unternehmen sind. Wählen Sie entsprechend der Rolle des Standorts und den Auswirkungen des Ausfalls.
| Zweck | Was zu verwenden ist | Geschätzte monatliche Zahlung |
|---|---|---|
| Seitenlieferung | Pages／Workers Static Assets | $0 |
| Bezahlte WAF usw. | Website-Pro-Plan | $25 |
| Anti-Bot-Maßnahmen | Turnstile Free | $0 |
| Empfang/Automatische Antwort | Workers Paid＋Email Sending | Mindestens 5 $ |
| Administratorbenachrichtigung | An bestätigtes Ziel senden | $0 |
| Ungefähre Gesamtzahl | Mindestens 30 $/Monat + zusätzliche Nutzung | |
Workers Paid beinhaltet ein monatliches E-Mail-Versandkontingent von 3.000 E-Mails mit einem Grundpreis von mindestens 5 $/Monat. Der Überschuss beträgt 0,35 $ pro 1.000 E-Mails. Versendungen an bestätigte Administratoren sind in diesem Frame nicht enthalten. Da auch das erneute Versenden und andere Zwecke das Sendekontingent beanspruchen, besteht keine Garantie dafür, dass wir 3.000 Anfragen erhalten können.
Vergleich inklusive Jahreszahlung und Business
| Konfigurationsbeispiel | Monatliche Grundgebühr | Monatliche Umrechnung für Website-Plan mit jährlicher Zahlung |
|---|---|---|
| Allgemeine Verwendung: Free + Workers Free | 0 $ (innerhalb des kostenlosen Kontingents) | 0 $ (innerhalb des kostenlosen Kontingents) |
| Automatische Antwort hinzufügen: Kostenlos + Arbeiter bezahlt | Mindestens 5 $ | Mindestens 5 $ |
| Beispiel für die Unternehmensnutzung: Pro+Workers Paid | Mindestens 30 $ | Mindestwert 25 $ |
| Bei strengen Anforderungen: Business + Workers Paid | Mindestens 255 $ | Mindestwert von 205 $ |
Die jährlichen Zahlungen für Pro betragen 240 $/Jahr und für Business 2.400 $/Jahr. Für Arbeiter gilt ein Mindestbetrag von 5 $/Monat. Darüber hinausgehende Nutzung wird separat berechnet. Hierbei handelt es sich nicht um einen Vertrag, bei dem Sie jeden Monat den in der Tabelle aufgeführten Monatsäquivalentbetrag zahlen.
Unternehmen haben eine SLA (vertragliche Vereinbarung zur Betriebszeit) für Website-Pläne, die jedoch nicht das gesamte System, einschließlich Formularverarbeitung und E-Mail-Versand, garantiert. Wenn ein kontinuierlicher Betrieb wichtig ist, bewerten Sie die Fehlererkennung, die Fehlerbehebung und die Handhabung von Betafunktionen.
Workers Paid ist ein Plan für die Programmausführung usw. Pro/Business ist ein Plan für Websites wie WAF. Selbst wenn Sie Workers Paid abonnieren, wird der bezahlte WAF nicht automatisch angehängt.
Anfragen für statische Dateien sind kostenlos und unbegrenzt, es gibt jedoch Einschränkungen hinsichtlich der Anzahl der Dateien, der Kapazität usw. Es wird davon ausgegangen, dass WAF auf eine anwendbare Route eingestellt ist, z. B. auf die eigene Domäne des Ziels, und beim Zugriff über eine andere öffentliche URL ist Vorsicht geboten.
Prüfen Sie vor der Migration, ob es zu Problemen kommen wird, bevor Sie über den Preis nachdenken.
Wenn nach der Migration jedes Mal die Aktualisierung zu einer Belastung wird, wird es schwierig, die Website weiterhin zu nutzen. Wir halten es für eine gute Idee, zunächst zu versuchen, eine kleine Anzahl von Artikeln zu veröffentlichen.
- Update:Kann die verantwortliche Person den Artikel schreiben, Bilder hinzufügen und ihn veröffentlichen?
- Bestehende Seite:Kann die bisherige URL beibehalten werden? Kann ich von der alten URL geleitet/umgeleitet werden, wenn ich sie ändern möchte?
- Angehängte Funktionen:So übertragen Sie Kommentare, Suche, Kategorien, RSS, Formulare usw.
- Wiederherstellung: Wenn Sie falsche Inhalte veröffentlichen, können Sie dann zum vorherigen Zustand zurückkehren?
- Exportieren: Können Artikel und Bilder in Zukunft gesichert und an einen anderen Ort verschoben werden?
- Verwaltung:Kann das Konto von mehreren Personen verwaltet werden? Kann ich eine Multi-Faktor-Authentifizierung einrichten?
Es gibt auch eine Möglichkeit, WordPress weiterhin zu nutzen und ein Wartungssystem einzurichten. Sie können dies einem verwalteten Dienst überlassen oder die Veröffentlichungsseite statisch gestalten. Ich möchte die Konfiguration auswählen, die zu meiner Website passt, indem ich die erforderlichen Funktionen und den Umfang der fortlaufenden Updates und Wartung überprüfe.
Bei der Abbildung handelt es sich um ein erläuterndes Diagramm, das für diesen Artikel erstellt wurde. Preis- und Bereitstellungsbedingungen sind freibleibend.