Spammails aus WordPress – Lücke im System?

Aha, danke. Hatte sowas eh schon früher mal angelegt, mit anderen Themen, doch da kam seit 2018 nie irgendwas an. Also vergessen …
Ergo wäre mir das zu unsicher.

Schau mal bei Wordfence nach, wie sich die in der Site verwendeten Plugins dort zeigen.
Manche haben eine recht wilde Liste an schweren Problemen und auch wenn die meisten Hersteller diese bald fixen, können alte Lücken auch nach deren Schließung nachwirken.

Z.B. hatte ich den Eindruck, dass in den letzten Monaten vermehrt Mitgliedsschafts-Plugins u.ä. angegriffen wurden bzw. fanden die Tester viele (z.T. auch ausgenützte) Lücken.
Eins davon ließ etwa zu, dass sich damit verwaltete Nutzer Adminrechte holen konnten.
Das wurde gefixt. Aber wenn sich dann schon ein Haufen Admins in der Site tummeln, isses zu spät.

Das alles soll aber nicht heißen, ich installiere mir das Wordfence Plugin, vllt. gar in der Pro-Version und alles ist gut. (oke, die warnt sofort, wenn was nicht stimmt)
Nein, ich bin kein Fan solcher AIO-Sicherheits-Tools, sondern dichte lieber manuell ab.

Daher checke ich den wöchentlichen Newsletter, schaue welche der dort gelisteten Plugins habe ich, bzw. die von mir verwalteten Sites laufen und reagiere darauf.
Und in besonderen Fällen senden die auch ein Extrablatt, wo genau auf ein, oder auf eine Gruppe von aktuell gefährdeten/heiklen Plugins eingegangen wird.

Aber jetzt muss die Site mal bereinigen, das ist eine Menge Arbeit (ich möchte die kein zweites Mal machen). Also alles Gute!