Wordfence verzeichnet 440.000 Angriffe auf Super Forms und Elementor Pro

Wordfence gab bekannt, dass es mehr als 440.000 Exploit-Versuche blockiert hat, die auf zwei kritische Schwachstellen in den WordPress-Plugins Super Forms und Elementor Pro abzielten – eine Welle, die zeigt, wie schnell Angreifer nach der Veröffentlichung von Datei-Upload-Fehlern reagieren. Die beiden Schwachstellen ermöglichen es nicht authentifizierten Besuchern, eine Datei beliebigen Typs, einschließlich einer ausführbaren PHP-Datei, auf eine anfällige Website hochzuladen, was zu vollständiger Remote-Code-Ausführung (d. h. der Angreifer kann eigene Befehle auf dem Server ausführen) und zur Übernahme der gesamten WordPress-Website führen kann.

Die erste Schwachstelle, erfasst als CVE-2026-14894, betrifft Super Forms Drag and Drop Form Builder. Es handelt sich um eine fehlende Dateitypvalidierung mit einem CVSS-Schweregrad von 9,8 von 10. Da das Plugin nicht prüft, welche Art von Datei eingereicht wird, kann ein Angreifer, der sich nicht anmelden muss, eine manipulierte Upload-Anfrage senden. Die Anfrage zielt auf den super_submit_form-Endpunkt unter wp-admin/admin-ajax.php und enthält eine Base64-kodierte PHP-Nutzlast, die mit dem Präfix data:image/gif;base64 getarnt ist. Die Datei wird dann als PHP-Webshell namens Mushr00w_upl.php auf dem Server gespeichert. Eine Webshell ist ein kleines Backdoor-Skript, das dem Angreifer ermöglicht, Befehle auf dem Hosting-Server auszuführen und weitere Malware hochzuladen. Super Forms hat dies in Version 6.3.314 behoben.

Die zweite Schwachstelle, CVE-2026-32475, betrifft Elementor Pro. Sie hat ebenfalls einen hohen CVSS-Wert, der in einigen Referenzen mit 9,0 und in anderen mit 9,8 angegeben wird. Wordfence beschreibt eine Umgehung der Upload-Validierung: Der Angreifer übermittelt das File Upload-Feld des Formulars als Array, also als Liste mit zwei Werten in einem Feld. Der erste Wert ist leer, und der zweite Wert enthält eine PHP-Nutzlast mit einem .php-Dateinamen. Diese Struktur täuscht das Plugin und lässt die Datei akzeptieren. Eine erfolgreiche Ausnutzung erfordert, dass die Zielseite mindestens eine veröffentlichte Elementor-Seite hat, die ein Form-Widget mit einem File Upload-Feld enthält. Sobald die Datei im Verzeichnis /wp-content/uploads/elementor/forms/ unter einem zufälligen Namen, aber mit der vom Angreifer angegebenen .php-Erweiterung landet, kann der Angreifer sie direkt anfordern, um beliebige Befehle auszuführen. Elementor Pro hat dies in Version 4.2.2 behoben. Patchstack hat letzten Monat Details zu dieser Schwachstelle veröffentlicht.

Wordfence hat diese Woche zwei Berichte veröffentlicht, die die Angriffe beschreiben. Das Unternehmen hat bereits mehr als 250.000 Exploit-Versuche gegen CVE-2026-14894 und mehr als 190.000 gegen CVE-2026-32475 blockiert, was einer kombinierten Gesamtzahl von über 440.000 entspricht. Die Super-Forms-Angriffe begannen am 14. Juli 2026 und erreichten am 18. August 2026 mit mehr als 40.000 Anfragen ihren Höhepunkt. Wordfence listete zehn IP-Adressen auf, die mit diesen Versuchen in Verbindung stehen: 103.168.147.235, 103.168.146.131, 103.154.152.178, 103.170.97.7, 182.10.130.51, 189.4.122.140, 129.227.46.143, 64.176.209.104, 103.164.182.122 und 37.9.33.62. Die Ausnutzung von Elementor Pro begann am 19. August 2026 und ging von zehn IP-Adressen aus: 2602:fa59:10:7a1::1, 185.196.220.85, 103.84.230.85, 103.90.148.202, 216.126.225.208, 167.254.240.75, 167.254.241.119, 114.10.17.253, 114.10.45.151 und 2406:ef80:2:7d19::1.

Dies sind keine theoretischen Risiken. Ein Angreifer, der eine der beiden Schwachstellen erfolgreich ausnutzt, kann eine PHP-Webshell auf der Website platzieren und beliebigen Code ausführen. Von dort aus kann er neue Administrator-Konten erstellen, Daten stehlen oder die gesamte WordPress-Installation übernehmen. Eine Schwachstelle für beliebigen Datei-Upload ist auf WordPress besonders gefährlich, da Uploads normalerweise in einem öffentlich zugänglichen Ordner gespeichert werden. Wenn ein Hosting-Server eine Anfrage für eine .php-Datei in diesem Ordner erhält, führt er den Code möglicherweise aus, anstatt ihn als Download anzuzeigen. Deshalb benennen Angreifer eine Webshell mit der Erweiterung .php um und greifen dann direkt darauf zu. Für einen typischen Website-Besitzer bedeutet dies praktisch, dass ein einziges veraltetes Plugin zu einer vollständigen Übernahme der Website führen kann, ohne dass bis zum letzten Moment sichtbare Anzeichen erkennbar sind.

WordPress-Website-Besitzer, die eines der beiden Plugins verwenden, sollten die Patches sofort anwenden, nach Anzeichen für einen Angreiferzugriff auf die Website suchen und nach unerwarteten oder neu geänderten .php-Dateien Ausschau halten. Für Websites, die bei AEU Hosting gehostet werden, dem verwalteten WordPress-Hosting-Dienst der AEU Group, kann das sicherheitsorientierte Management der Plattform dabei helfen, WordPress-Core und Plugins aktuell zu halten und zu überwachen, aber das Anwenden des Hersteller-Patches bleibt die entscheidende Maßnahme. Überprüfen Sie nach dem Patchen die betroffenen Upload-Verzeichnisse sorgfältig und entfernen Sie alle Webshell-Dateien, die möglicherweise bereits platziert wurden.