Schwachstelle im Backuply WordPress plugin kann die Übernahme einer Website ermöglichen
Das Backuply WordPress plugin enthält eine schwerwiegende SQL injection-Schwachstelle, durch die ein gewöhnliches subscriber-Konto nach der Wiederherstellung eines Datenbank-Backups vollständigen Administratorzugriff erhalten kann. Laut Wordfence betrifft das Problem alle Backuply-Versionen bis einschließlich 1.5.8. Der Entwickler veröffentlichte am 1. Oktober 2026 die korrigierte Version 1.5.9. Backuply, dessen offizieller Name Backuply - Backup, Restore, Migrate and Clone lautet, hat mehr als 600.000 aktive Installationen.
Die Schwachstelle wird unter CVE-2026-93953 geführt und hat im Common Vulnerability Scoring System (CVSS) eine Bewertung von 8,0, die als High eingestuft ist. SQL injection ist eine Sicherheitslücke, bei der von Angreifern kontrollierte Inhalte Teil eines Datenbankbefehls werden. In diesem Fall handelt es sich um eine second-order SQL injection: Der schädliche Inhalt wird zunächst gespeichert und bleibt inaktiv, bis das plugin ihn bei einem späteren Vorgang verarbeitet. Ein Angreifer muss bereits über ein authentifiziertes WordPress-Konto mit der Rolle subscriber oder höher verfügen.
Der Angriff beginnt mit dem Feld Biographical Info, das registrierte Benutzer in ihren Profilen bearbeiten können. WordPress speichert diesen Wert in der Datenbanktabelle wp_usermeta. Wenn Backuply ein Datenbank-Backup erstellt, nachdem die schädliche Biografie gespeichert wurde, wird dieser Wert Teil des SQL dump, einer Datei mit Datenbankbefehlen und gespeicherten Informationen, die zum Wiederaufbau der Datenbank verwendet werden. Der payload wird weder beim Eintragen der Biografie noch beim Erstellen des Backups ausgeführt. Er wird nur ausgelöst, wenn ein Administrator das betroffene Backup später wiederherstellt.
Wordfence stellte fest, dass der Wiederherstellungsprozess von Backuply statements aus dem SQL dump ausführt und anschließend einen unanchored regular expression verwendet, um den alten WordPress-table prefix zu identifizieren. Ein table prefix ist der Anfang von Datenbanktabellennamen, durch den die Tabellen einer bestimmten WordPress-Installation gekennzeichnet werden. Der Ausdruck ist nicht auf einen echten CREATE TABLE header beschränkt und ignoriert keine in Anführungszeichen gesetzten Werte, sodass er speziell präparierte Inhalte innerhalb der gespeicherten Biografie erfassen kann. Wenn dasselbe statement außerdem backuply_version enthält, wird der erfasste Inhalt ohne Validierung in eine zweite UPDATE query eingefügt.
Ein Angreifer kann die Biografie daher so gestalten, dass der erfasste Wert als Datenbankbefehl statt als table prefix behandelt wird. Ein comment character kann den Rest der vom plugin erzeugten query verwerfen. Der von Wordfence demonstrierte Angriffsweg verändert die Einträge default_role und users_can_register in der Tabelle wp_options. Dadurch wird die öffentliche Registrierung aktiviert und Administrator zur automatisch vergebenen Rolle für neu registrierte Konten gemacht. Da wp_options vor wp_usermeta wiederhergestellt wird, sind diese Änderungen bereits vorhanden, wenn die eingeschleuste query ausgeführt wird, und bleiben nach der Wiederherstellung bestehen. Der Angreifer kann anschließend über das normale Registrierungsformular ein neues Konto mit Administratorrechten erstellen und die Kontrolle über die Website übernehmen.
Der eingeschleuste Vorgang läuft während eines INSERT statement und sendet keine Antwort an den Angreifer zurück. Wordfence beschrieb ihn daher als Möglichkeit, Datenbankeinträge zu verändern, statt vorhandene Daten direkt abzurufen. Die entscheidende Voraussetzung ist der Wiederherstellungsschritt: Ein Administrator muss ein Datenbank-Backup wiederherstellen, das erstellt wurde, nachdem der schädliche Profilwert gespeichert worden war. Bis dahin wird der gespeicherte payload nicht ausgeführt. Das Erstellen und Wiederherstellen von Backups sind zentrale Funktionen des plugins. Deshalb ist diese Voraussetzung für den praktischen Betrieb relevant, obwohl die Ausnutzung nicht sofort erfolgt.
Wordfence erhielt die Meldung über die Schwachstelle am 17. September 2026, bestätigte den proof of concept am 19. September und stellte seinen Premium-, Care- und Response-Nutzern am 24. September eine firewall rule bereit. Das Unternehmen informierte das Backuply-Team am 28. September über das Problem; Version 1.5.9 folgte am 1. Oktober. Laut Wordfence sollten Nutzer des kostenlosen Produkts dieselbe firewall rule am 24. Oktober erhalten, 30 Tage nach der ursprünglichen Bereitstellung. Der Sicherheitsforscher, der die Schwachstelle über das Wordfence Bug Bounty Program gemeldet hatte, erhielt 1.352 US-Dollar. Die firewall rule wurde als Schutz vor bekannten Exploits beschrieben, die auf das auf WordPress.org angebotene plugin abzielen. Die Aktualisierung von Backuply bleibt jedoch die empfohlene Abhilfemaßnahme.
Websitebetreiber sollten sicherstellen, dass Backuply in Version 1.5.9 oder höher ausgeführt wird, subscriber-Konten überprüfen und Backups, die während der Nutzung einer anfälligen Version erstellt wurden, mit Vorsicht behandeln. Nach der Wiederherstellung eines solchen Backups sollten Administratoren prüfen, ob die öffentliche Registrierung unerwartet aktiviert wurde und ob neuen Benutzern die Rolle Administrator zugewiesen wird. Für Organisationen, die eine betriebliche Betreuung ihrer Websites bevorzugen, bietet AEU Hosting verwaltetes und durchgängig abgesichertes WordPress-Hosting an.