Wordfence findet kritische Admin-Übernahme-Schwachstelle im WPMU DEV Dashboard
Wordfence meldet eine Authentifizierungsumgehung im WPMU DEV Dashboard, einem Plugin mit 350.000 Installationen, die es nicht authentifizierten Angreifern ermöglicht, Administratorzugriff zu erlangen, wenn Hub SSO aktiviert ist.
Das WordPress-Plugin WPMU DEV Dashboard weist eine kritische Schwachstelle zur Authentifizierungsumgehung auf, die es einem nicht authentifizierten Angreifer ermöglichen kann, Administratorzugriff zu erlangen, wenn eine Funktion namens Hub Single Sign-On aktiviert ist, so ein Sicherheitsforschungsbericht von Wordfence Argus vom 19. August 2026. Wordfence Argus ist das Bedrohungsforschungsteam bei Wordfence, einem Unternehmen, das WordPress-Sicherheitswerkzeuge und -Dienste entwickelt. Das Plugin wird auf schätzungsweise 350.000 aktiven Installationen verwendet.
Eine Authentifizierungsumgehung ist eine Schwachstelle, die es jemandem ermöglicht, den normalen Anmeldeschritt zu überspringen und auf ein Konto oder einen Bereich zuzugreifen, als wäre er ein gültiger Benutzer. In diesem Fall betrifft die Schwachstelle nur, wenn Hub Single Sign-On, oft als Hub SSO abgekürzt, aktiviert ist. Hub SSO ist eine Einstellung, die es einer Person ermöglicht, sich über den WPMU DEV Hub-Dienst bei einer WordPress-Website anzumelden, anstatt ein separates WordPress-Passwort einzugeben. Wenn Hub SSO aktiv ist, macht es der Fehler möglich, dass ein nicht authentifizierter Angreifer, also jemand, der nicht angemeldet ist und kein Konto auf der Website hat, Administratorzugriff erhält.
Administratorzugriff ist die höchste Berechtigungsstufe in WordPress und bietet volle Kontrolle über die Website. Ein Angreifer mit diesem Zugriff kann Passwörter ändern, neue Administratorkonten hinzufügen, bösartige Plugins installieren, Seiten ändern und alle in WordPress gespeicherten Daten lesen. Der Wordfence-Bericht stellt fest, dass die Situation zu Remote Code Execution eskalieren kann, wenn ein administratorzugänglicher Code-Schreibmechanismus wie der WordPress-Plugin-Editor oder Theme-Editor verfügbar ist. Remote Code Execution bedeutet, dass der Angreifer eigene Befehle oder Programme auf dem Server ausführen kann, der die Website hostet, was das gesamte Hosting-Konto gefährden kann.
Die Schwachstelle wurde während interner Forschung von Wordfence Argus entdeckt. Der veröffentlichte Bericht enthält keine detaillierten technischen Informationen über den genauen Fehler und sagt nicht, ob zum Zeitpunkt der Veröffentlichung ein Patch verfügbar war. Da das Problem nur ausgelöst wird, wenn Hub Single Sign-On aktiviert ist, sind Websites, die diese Funktion nicht aktiviert haben, durch diese spezifische Schwachstelle nicht gefährdet. Website-Besitzer, die das Plugin verwenden, sollten ihre Einstellungen sofort überprüfen.
Für Website-Besitzer ist der unmittelbare Schritt, die Hub Single Sign-On-Einstellung im WPMU DEV Dashboard zu überprüfen. Wenn Hub SSO nicht benötigt wird, sollte es deaktiviert werden. Wenn es benötigt wird, sollten Website-Besitzer auf ein Update von WPMU DEV achten und es sofort anwenden, sobald es veröffentlicht wird. Die Einschränkung des Zugriffs auf den WordPress-Plugin- und Theme-Editor kann auch das Risiko von Remote Code Execution verringern, selbst wenn ein Angreifer irgendwie Administratorzugriff erlangt.
WordPress-Plugin-Schwachstellen können einen direkten Weg in eine Website bieten, insbesondere wenn ein Plugin so weit verbreitet ist wie WPMU DEV Dashboard. Da Plugins die Basis-WordPress-Software um neue Funktionen erweitern, kann eine Schwachstelle in einem von ihnen die Sicherheit der gesamten Website untergraben. Deshalb sind Plugin-Updates und Konfigurationsüberprüfungen ein wichtiger Teil der routinemäßigen Website-Wartung. Verwaltete WordPress-Hosting-Dienste wie AEU Hosting bieten eine gesicherte, durchgängige Umgebung, die Website-Besitzern helfen kann, ihre Installationen und Plugins besser zu warten.
So schützen Sie sich
- Deaktivieren Sie Hub Single Sign-On in Ihren WPMU DEV Dashboard-Einstellungen sofort, wenn Sie es nicht aktiv nutzen.
- Überprüfen Sie die WPMU DEV Dashboard-Plugin-Seite auf ein Update und installieren Sie jeden Sicherheitsfix, sobald er verfügbar ist.
- Wenn Sie noch nicht aktualisieren können, deaktivieren Sie das WPMU DEV Dashboard-Plugin vorübergehend, um das Risiko zu beseitigen.
- Deaktivieren Sie in Ihrem WordPress-Adminbereich den Plugin- und Theme-Editor, damit ein Angreifer ihn nicht nutzen kann, um bösartigen Code auszuführen, selbst wenn er Administratorzugriff erlangt.
- Erstellen Sie jetzt ein vollständiges Backup Ihrer Website, damit Sie sie schnell wiederherstellen können, falls etwas schiefgeht.
Begriffe Erklärt
- Authentication Bypass Eine Sicherheitsschwäche, die es jemandem ermöglicht, den normalen Anmeldeschritt zu überspringen und auf ein Konto oder einen Bereich zuzugreifen, als wäre er ein gültiger Benutzer.
- Hub Single Sign-On (SSO) Eine Einstellung, die es einer Person ermöglicht, sich über den WPMU DEV Hub-Dienst bei einer WordPress-Website anzumelden, anstatt ein separates WordPress-Passwort zu verwenden.
- Remote Code Execution Eine ernste Art von Angriff, bei der ein Außenstehender eigene Befehle oder Programme auf dem Computer ausführen kann, der eine Website hostet.
- Plugin Editor Ein integriertes WordPress-Werkzeug, das es einem Administrator ermöglicht, Plugin-Dateien direkt über das Website-Dashboard zu bearbeiten.
- Unauthenticated Attacker Jemand, der nicht angemeldet ist und kein Konto auf der Website hat, aber dennoch versucht, einzubrechen.
- Administrator Access Die höchste Berechtigungsstufe in WordPress, die es einem Benutzer ermöglicht, Einstellungen zu ändern, Software zu installieren und alles auf der Website zu verwalten.