Fünf Schwachstellen in WordPress-Plugins und -Themes ermöglichen Website-Übernahme
Forscher haben kritische Schwachstellen in WPMU DEV Dashboard, Avada, TranslatePress, Pods und GiveWP offengelegt, die zu Account-Übernahme oder Codeausführung führen können.
Sicherheitsforscher haben Details zu fünf kritischen Schwachstellen in WordPress-Plugins und -Themes veröffentlicht, die WPMU DEV Dashboard, Avada, TranslatePress, Pods und GiveWP betreffen. Die von Wordfence und Patchstack gemeldeten Fehler reichen von Authentifizierungsumgehung und Privilegienerweiterung bis hin zu beliebigem Dateischreiben und Befehlsausführung. Website-Betreiber, die eines dieser Produkte verwenden, sollten ihre Versionen sofort überprüfen und auf Hersteller-Patches achten.
WPMU DEV Dashboard ist von CVE-2026-76581 betroffen, einer Authentifizierungsumgehungs-Schwachstelle mit einem CVSS-Score von 9,8 – einer standardisierten Schweregradbewertung, bei der 9,8 als kritisch gilt. Ein nicht authentifizierter Angreifer kann Administratorzugriff auf Websites erlangen, die mit WPMU DEV verbunden sind und bei denen Hub Single Sign-On (SSO) aktiviert und einem Administrator zugeordnet ist. Die Schwachstelle betrifft alle Versionen bis einschließlich 5.0.1.
Das Avada-Theme enthält CVE-2026-18431, ebenfalls mit 9,8 bewertet. Dies ist eine Schwachstelle zum beliebigen Schreiben von Dateien, die es einem nicht authentifizierten Angreifer ermöglicht, vom Angreifer kontrollierte Dateien auf den Server zu schreiben. Dadurch kann der Angreifer beliebige PHP-Dateien erstellen und ausführen, was zu Remote-Codeausführung und vollständiger Kompromittierung der Website führt. Das Problem betrifft alle Versionen bis einschließlich 7.16, wenn das Fusion Builder Plugin in Versionen bis einschließlich 3.16 installiert und aktiv ist.
TranslatePress ist von CVE-2026-19632 betroffen, ebenfalls mit 9,8 bewertet. Diese Schwachstelle zur Offenlegung sensibler Informationen kann es einem nicht authentifizierten Angreifer ermöglichen, die rohe URL zum Zurücksetzen des Administratorpassworts zu extrahieren, einschließlich des Klartext-Reset-Schlüssels und der Login-Parameter. Mit diesen Informationen kann ein Angreifer ein Administratorkonto übernehmen. Die Schwachstelle betrifft alle Versionen bis einschließlich 3.3.1 nur dann, wenn die automatische Speicherung von Zeichenfolgen aktiviert ist und die Profilsprache des Ziel-Administrators auf eine veröffentlichte Sekundärsprache eingestellt ist.
Das Pods-Plugin hat CVE-2026-19598, eine Privilegienerweiterungs-Schwachstelle mit einem Score von 9,8. Ein nicht authentifizierter Angreifer kann seine Privilegien auf Administrator erweitern oder das Passwort eines beliebigen Benutzerkontos, einschließlich des Website-Inhabers, überschreiben, was zu einer vollständigen Übernahme der Website führt. Alle Versionen bis einschließlich 3.3.9 sind betroffen.
GiveWP ist von CVE-2026-82222 mit dem höchstmöglichen CVSS-Score von 10,0 betroffen. Die Schwachstelle ermöglicht es einem Angreifer, beliebige Befehle auf dem Server einer GiveWP-Website auszuführen, die ein veröffentlichtes Spendenformular und ein aktives Zahlungsgateway hat. Laut Patchstack verkettet die Schwachstelle einen fehlerhaften sicheren Unserialisierungs-Helfer, einen Spendenfluss, der diesem Helfer vom Angreifer kontrollierte Daten zuführt, und eine Gadget-Kette im von GiveWP mitgelieferten Code. Dies zeigt, wie PHP-Objektinjektion zu Remote-Codeausführung wird, wenn drei Zutaten zusammenkommen: ein Ort zum Speichern eines vom Angreifer kontrollierten serialisierten Objekts, Code, der es später deserialisiert, und eine Gadget-Kette in geladenen Klassen. Patchstack nannte auch häufige Ursachen: das Vertrauen auf einen Serialisierungs-Sanitizer, der Objekte nicht tatsächlich entfernt, das Deserialisieren von aus der Datenbank gelesenen Daten, als wären sie vertrauenswürdig, und das Ausliefern von Nur-Entwicklungs-Bibliotheken in die Produktion, wo sie fertige Gadget-Ketten bereitstellen.
Diese Schwachstellen sind ernst, weil sie einem Außenstehenden die gleiche Kontrolle wie einem Website-Inhaber geben können. Eine Authentifizierungsumgehung oder Privilegienerweiterung bedeutet, dass sich jemand ohne Passwort als Administrator anmelden kann. Beliebiges Dateischreiben und Befehlsausführung bedeuten, dass der Angreifer seinen eigenen Code auf dem Hosting-Server ausführen kann, was zum Einschleusen von Malware, zum Diebstahl von Daten oder zur Nutzung des Servers für weitere Angriffe verwendet werden kann. Für Hosting-Anbieter und Website-Inhaber macht dies schnelles Patchen und Überprüfen der Konfiguration unerlässlich.
Die Offenlegungen listen betroffene Versionsbereiche auf, geben aber nicht an, welche Releases die Fehlerbehebungen enthalten. Website-Inhaber sollten die Seiten der Plugin- und Theme-Anbieter sowie die Wordfence- und Patchstack-Advisories auf offizielle Patch-Informationen prüfen, sobald diese erscheinen. Während sie auf Updates warten, können Administratoren das Risiko verringern, indem sie betroffene Plugins oder Themes nach Möglichkeit deaktivieren und Einstellungen wie SSO-Zuordnungen, automatische Zeichenfolgenspeicherung und Zahlungsgateway-Konfigurationen überprüfen.
Für Inhaber, die einen Anbieter mit der Verwaltung ihrer WordPress-Installation beauftragen möchten, bietet AEU Hosting Managed WordPress Hosting an, bei dem Update- und Sicherheitsaufgaben an das Hosting-Team übergeben werden können. Diese Art der Unterstützung kann die Wahrscheinlichkeit verringern, dass ein bekanntes schwachstellenbehaftetes Plugin lange nach einer Offenlegung weiter betrieben wird.
So schützen Sie sich
- Überprüfen Sie noch heute Ihre WordPress-Website auf eines dieser Plugins oder Themes: WPMU DEV Dashboard, Avada, TranslatePress, Pods und GiveWP. Wenn Sie eines finden, suchen Sie nach einem Update vom Plugin- oder Theme-Entwickler und ins
- Aktivieren Sie automatische Updates für WordPress-Plugins und -Themes, wenn Ihre Website dies unterstützt, damit zukünftige Sicherheitspatches angewendet werden, ohne dass Sie daran denken müssen.
- Verwenden Sie Zwei-Faktor-Authentifizierung für alle Administratorkonten, damit selbst ein gestohlenes oder erratenes Passwort nicht ausreicht, um sich anzumelden.
- Erstellen Sie eine vollständige Sicherung Ihrer Website, bevor Sie Updates anwenden, damit Sie sie wiederherstellen können, falls etwas schiefgeht.
- Entfernen Sie alle Plugins oder Themes, die Sie nicht aktiv nutzen, insbesondere ältere Versionen, denn jedes einzelne ist eine mögliche Tür für Angreifer.
- Wenn Sie Spenden- oder Zahlungsformulare auf Ihrer Website verwalten, überprüfen Sie Ihre Zahlungsgateway-Einstellungen und stellen Sie sicher, dass nur die Formulare veröffentlicht sind, die Sie tatsächlich benötigen.
Schwachstellen & Lösungen
- CVE-2026-18431 Arbitrary file write flaw in the Avada theme affecting versions up to 7.16 with Fusion Builder up to 3.16; can lead to remote code execution and complete site compromise. Lösung & Details ansehen →
- CVE-2026-19598 Privilege escalation flaw in Pods affecting versions up to 3.3.9; can allow unauthenticated users to become administrators or overwrite passwords. Lösung & Details ansehen →
- CVE-2026-19632 Sensitive information exposure in TranslatePress affecting versions up to 3.3.1 under specific settings; can expose the administrator password-reset URL and key for account takeover. Lösung & Details ansehen →
- CVE-2026-76581 Authentication bypass flaw in WPMU DEV Dashboard affecting versions up to 5.0.1; can allow unauthenticated site takeover when Hub SSO is enabled and mapped to an administrator. Lösung & Details ansehen →
- CVE-2026-82222 Vulnerability in GiveWP affecting versions up to 4.16.7.1; can execute arbitrary commands when a published donation form and active payment gateway exist. Lösung & Details ansehen →
Begriffe Erklärt
- authentication bypass Eine Schwachstelle, die es jemandem ermöglicht, die normale Anmeldeprüfung zu umgehen und in ein System einzudringen, ohne ein gültiges Passwort einzugeben.
- remote code execution Eine Art von Schwachstelle, die es einem Angreifer ermöglicht, eigene Befehle oder Programme auf dem Server eines anderen auszuführen, als säße er an der Tastatur.
- privilege escalation Ein Sicherheitsproblem, das es einem Angreifer ermöglicht, ohne Erlaubnis höhere Zugriffsrechte zu erlangen, beispielsweise Administrator zu werden.
- CVSS score Eine Standardzahl von 0 bis 10, die bewertet, wie schwerwiegend eine Sicherheitslücke ist; Werte von 9,8 oder 10,0 bedeuten, dass die Lücke kritisch ist.
- PHP object injection Eine Technik, die ausnutzt, wie Software Datenobjekte speichert und wiederherstellt, was missbraucht werden kann, um unerwünschten Code auszuführen.
- serialized object Eine Möglichkeit, ein Datenelement so zu verpacken, dass es gespeichert oder gesendet und später wieder zusammengesetzt werden kann; bei unsachgemäßer Handhabung kann es von einem Angreifer verändert werden.
- gadget chain Eine Abfolge vorhandener Codeteile, die ein Angreifer wiederverwenden kann, wie Lego-Steine, um ein Programm zu etwas Schädlichem zu veranlassen.
- Single Sign-On (SSO) Eine Möglichkeit, sich einmal anzumelden und Zugriff auf mehrere verbundene Dienste zu erhalten, ohne für jeden ein Passwort eingeben zu müssen.