Die ACF Plugin Update-Kontroverse: Was Sie wissen müssen

Im Oktober 2024 hat WordPress.org das Plugin Advanced Custom Fields (ACF) im Plugin-Verzeichnis durch einen eigenen Fork namens Secure Custom Fields ersetzt. Der Streit zwischen Matt Mullenweg und WP Engine, dem Eigentümer von ACF, hat damals viele Website-Betreiber verunsichert. Dieser Beitrag erklärt, was passiert ist, wie die Lage heute aussieht und was Sie mit Ihrer Website tun sollten.

Stand 2026: ACF und Secure Custom Fields, was Website-Betreiber heute tun sollten

Stand: 7. Oktober 2026, geprüft in den Plugin-Verzeichnissen von WordPress.org.

Heute gibt es zwei getrennte Plugins im offiziellen Verzeichnis:

• Advanced Custom Fields (ACF®) steht wieder unter seiner ursprünglichen Adresse, als Autor ist WP Engine eingetragen. Die aktuelle Version 6.8.10 ist vom 10. September 2026. Die ACF-Entwickler veröffentlichen ihre Updates also wieder direkt über WordPress.org.
• Secure Custom Fields (SCF) ist seit November 2024 ein eigenes Plugin mit eigener Adresse, als Autor ist WordPress.org eingetragen. Die aktuelle Version ist 6.9.5.

Die Rückgabe des ACF-Eintrags an WP Engine folgte im Dezember 2024 auf eine einstweilige Verfügung eines US-Gerichts, über die unter anderem WP Tavern berichtet hat.

Für Ihre Website heißt das:

1. Prüfen Sie, welches Plugin installiert ist. In der Plugin-Liste im WordPress-Backend steht beim Namen auch der Autor. „Advanced Custom Fields“ von WP Engine ist das Original, „Secure Custom Fields“ von WordPress.org der Fork. Websites, die im Oktober 2024 automatisch aktualisiert haben, laufen unter Umständen noch auf SCF, ohne dass es jemand bemerkt hat.
2. Entscheiden Sie sich für eines der beiden. Beide gleichzeitig aktiv zu betreiben, funktioniert nicht: Laut Beschreibung im Verzeichnis deaktiviert SCF bei der Installation ACF und ACF PRO, um Code-Konflikte zu vermeiden. Wer eine Lizenz für ACF PRO hat, bekommt die PRO-Updates von WP Engine und bleibt deshalb in der Regel bei ACF.
3. Halten Sie das gewählte Plugin aktuell. Version 6.8.10 von ACF enthält laut Changelog im Verzeichnis sieben Sicherheitskorrekturen. Ein veraltetes Feld-Plugin ist ein unnötiges Risiko.
4. Testen Sie den Wechsel vorher. Wer von SCF zurück zu ACF wechseln will oder umgekehrt, sollte das zuerst auf einer Staging-Kopie ausprobieren und danach die Felder auf den wichtigsten Seiten kontrollieren.

Wer solche Entwicklungen nicht selbst verfolgen möchte: Genau das ist Teil meiner WordPress Betreuung. Ich prüfe Plugin-Updates vor dem Einspielen auf einer Staging-Umgebung, statt sie automatisch durchlaufen zu lassen.

Was im Oktober 2024 passiert ist

Am 12. Oktober 2024 meldete das ACF-Team, dass WordPress.org den Eintrag des Plugins übernommen hatte (Stellungnahme auf advancedcustomfields.com). Unter der Adresse von ACF wurde eine veränderte Version namens „Secure Custom Fields“ ausgeliefert. Matt Mullenweg hatte das veranlasst, ohne Zustimmung des ACF-Teams, das das Plugin seit 2011 entwickelt.

Die Folge: Websites, die ACF in der kostenlosen Version über WordPress.org aktualisierten, bekamen plötzlich Code, den nicht mehr das ACF-Team verantwortete. WP Engine erklärte damals, dass Kunden von ACF PRO sowie von WP Engine und Flywheel nicht betroffen seien. Allen anderen empfahl das ACF-Team, die Version 6.3.8 einmalig von advancedcustomfields.com herunterzuladen, um wieder Updates vom Original zu bekommen. Dieser Umweg war nötig, solange ACF nicht über WordPress.org verteilt werden konnte.

Warum der Fall die Community beschäftigt hat

Das WordPress-Ökosystem beruht darauf, dass Entwickler ihre Plugins über das offizielle Verzeichnis verteilen und dort die Kontrolle über ihren Code behalten. Dass ein aktiv gepflegtes Plugin ohne Zustimmung seiner Entwickler übernommen wurde, war neu. Viele bezeichneten das als „feindliche Übernahme“, manche sogar als eine Art Supply-Chain-Angriff, weil Nutzer per Update ein anderes Plugin bekamen, als sie installiert hatten.

Für Entwickler, die Websites mit ACF gebaut haben, war das ein praktisches Problem: ACF steckt in vielen Themes und individuellen Lösungen. Wer nicht wusste, welche Version auf welcher Kundenseite läuft, musste nachprüfen.

Was davon bleibt

Der Fall hat gezeigt, dass man bei wichtigen Plugins wissen sollte, woher die Updates kommen. Automatische Updates sind bequem, aber bei Plugins, auf denen eine ganze Website aufbaut, lohnt ein kurzer Blick, bevor sie eingespielt werden. Die oben beschriebenen Schritte für 2026 sind deshalb auch unabhängig von ACF eine gute Routine.