268 WordPress-Schwachstellen in Plugins und Themes
Die vom 19. bis 25. Oktober 2026 offengelegten WordPress-Schwachstellen beliefen sich laut den Ergänzungen der Wordfence Intelligence Vulnerability Database auf 268 Schwachstellen in 182 Plugins und 15 Themes. Von diesen Sicherheitslücken waren 225 gepatcht, während 43 ungepatcht blieben. Die Offenlegungen umfassten sieben kritische, 69 schwerwiegende, 186 mittelschwere und sechs geringfügige Probleme. 124 Sicherheitsforscher steuerten in dieser Woche Erkenntnisse bei.
Die Schweregrade verwenden CVSS, das Common Vulnerability Scoring System, das einen Wert von 0 bis 10 vergibt, um anzugeben, wie schwerwiegend eine Sicherheitslücke sein kann. Alle sieben kritischen Schwachstellen wurden entweder mit 9,8 oder 9,1 bewertet und als gepatcht aufgeführt. Advanced Custom Fields: Extended und dessen Pro-Edition bis einschließlich Version 0.9.2.7 wiesen eine unauthenticated remote code execution-Schwachstelle mit der Kennung CVE-2026-94267 auf. Dadurch konnte ein Angreifer Code ausführen, ohne sich zuvor anzumelden. Version 0.9.2.7 war außerdem von account takeover und privilege escalation betroffen, bei der ein Angreifer Berechtigungen erhält, die ihm nicht zur Verfügung stehen sollten. Diese Schwachstelle wurde unter CVE-2026-94268 geführt. Die kostenlose Edition bis einschließlich 0.9.2.7 wies zusätzlich ein arbitrary file deletion-Problem mit der Kennung CVE-2026-112311 auf. Diese Offenlegungen wurden zwischen dem 20. und 23. Oktober veröffentlicht.
Bei den weiteren kritischen Problemen handelte es sich um CVE-2026-115806 in Prime Mover bis einschließlich 2.2.1, das PHP object injection über einen Base64-codierten Kommentar während der Suche und Ersetzung bei einer Migration ermöglichte; CVE-2026-111832 in WP Mailster bis einschließlich 1.9.1.0, das beliebige Datei-Uploads erlaubte; CVE-2026-102785 in den YOOtheme Pro-Versionen 5.0.0 bis 5.0.52, das ebenfalls beliebige Datei-Uploads erlaubte; sowie CVE-2026-111833 in weForms bis einschließlich 1.6.28, das beliebiges Löschen von Dateien ermöglichte. PHP object injection bezeichnet die unsichere Verarbeitung speziell konstruierter Daten, durch die eine Anwendung unbeabsichtigte Aktionen ausführen kann. Diese vier Sicherheitslücken wurden zwischen dem 19. und 22. Oktober veröffentlicht und als gepatcht gekennzeichnet.
Mehrere schwerwiegende Schwachstellen hatten zum Zeitpunkt ihrer Aufnahme in die Datenbank keinen Patch. Academist Core bis einschließlich 1.4.1 wies eine unauthenticated local file inclusion-Schwachstelle mit der Kennung CVE-2026-112820 auf, durch die die Website eine lokale Datei laden konnte, die nicht zugänglich sein sollte. Participants Database bis einschließlich 2.7.8.5 war sowohl von PHP object injection unter CVE-2026-112862 als auch von SQL injection unter CVE-2026-112860 betroffen. SQL injection bedeutet, dass bösartige Datenbankbefehle über unzureichend geschützte Eingaben eingeschleust werden können. EventON Subscriber bis einschließlich 1.4.5 wies mit CVE-2026-93300 eine weitere unauthenticated SQL injection-Schwachstelle auf, die den E-Mail-Parameter betraf.
Eine Gruppe ungepatchter PHP object injection-Schwachstellen betraf Hallelujah bis einschließlich 1.1.1, Helion bis einschließlich 1.1.12, Holistic Center bis einschließlich 1.2.6, Hostme v2 bis einschließlich 7.0, HotLock bis einschließlich 1.3.9, Little Birdies bis einschließlich 1.3.16, Redy bis einschließlich 1.3.5, Reprizo bis einschließlich 1.0.8, Rhodos bis einschließlich 1.3.3, Save Life bis einschließlich 1.2.14, Vagabonds bis einschließlich 1.3.10 und ZenSoul bis einschließlich 1.13. Hostme v2 bis einschließlich 7.0 wies außerdem ungepatchtes stored cross-site scripting unter CVE-2026-112849 auf, während KALLYAS bis einschließlich 4.25.0 unter CVE-2026-112863 dieselbe Schwachstelle hatte. stored cross-site scripting ermöglicht es, bösartigen Browser-Code auf einer Website zu speichern und ihn später an Besucher oder Administratoren auszuliefern. Your Dress bis einschließlich 1.4.1 wies ungepatchte local file inclusion unter CVE-2026-112850 auf.
Die gepatchten Erkenntnisse mit hohem Schweregrad deckten eine große Bandbreite von Angriffswegen ab. Duplicator bis einschließlich 1.5.17 und Duplicator Pro bis einschließlich 4.6.10 wiesen unauthenticated PHP object injection unter CVE-2026-82814 auf. Classified Listing bis einschließlich 6.1.5 ermöglichte Benutzern mit der Rolle Subscriber die Ausführung von Code; die Schwachstelle wurde unter CVE-2026-111828 geführt. Royal Addons for Elementor bis einschließlich 1.7.1068 ermöglichte Konten mit der Rolle Contributor remote code execution unter CVE-2026-111851. Royal MCP vor 1.5.7 wies authentication bypass unter CVE-2026-111958 auf. Ajax Search Lite bis einschließlich 4.14.6, Amelia bis einschließlich 2.4.11, zwei Versionsbereiche von Click n Chat, Newsletters bis einschließlich 4.18.1 und Product Filter for WooCommerce bis einschließlich 3.4.6 gehörten zu den Produkten mit gepatchten unauthenticated SQL injection-Schwachstellen.
stored cross-site scripting machte viele weitere Offenlegungen mit hohem Schweregrad aus. Zu den betroffenen und gepatchten Produkten gehörten Anti-Spam by CleanTalk bis einschließlich 6.89.1, Better Messages bis einschließlich 3.1.3, Contact Form Email bis einschließlich 1.3.68, Eventin bis einschließlich 4.1.26, Jane Menu bis einschließlich 1.5.0, LiteSpeed Cache vor 7.9.2, Ninja Forms bis einschließlich 3.15.5, Otter Blocks vor 3.2.8, PixelYourSite Free und Pro vor 11.4.3, SureCart bis einschließlich 4.9.5, W3 Total Cache bis einschließlich 2.10.7, WebP Express bis einschließlich 0.25.15, Weglot bis einschließlich 6.4.2 und WP Mailster bis einschließlich 1.9.1.0. Die meisten dieser Schwachstellen waren unauthenticated, sodass ein Angreifer kein WordPress-Konto benötigte.
Die häufigste Schwachstellenkategorie war missing authorization, die 75-mal erfasst wurde. CWE, kurz für Common Weakness Enumeration, ist eine standardisierte Methode zur Klassifizierung von Fehlern bei der Softwaresicherheit. Es folgte die unsachgemäße Verarbeitung von Eingaben während der Erzeugung von Webseiten mit 69 Erkenntnissen, während die Deserialisierung nicht vertrauenswürdiger Daten 20 Fälle ausmachte. Zu den weiteren Gesamtzahlen gehörten 16 authorization bypasses über benutzergesteuerte Schlüssel, 13 SQL command injection-Schwachstellen, 11 Fälle, in denen die serverseitige Sicherheit von Prüfungen im Browser des Besuchers abhing, zehn Offenlegungen sensibler Informationen, acht Fehler bei der Verwaltung von Berechtigungen, sieben Probleme bei der Steuerung der Code-Erzeugung und sechs Fehler bei der Authentifizierung. Die Datenbank erfasste außerdem fünf cross-site request forgery-Probleme, fünf incorrect authorization-Schwachstellen, fünf Schwächen bei der Prüfung der Datenauthentizität, vier PHP file inclusion-Probleme, vier Fehler bei Pfadbeschränkungen und vier gefährliche Datei-Upload-Probleme. Kleinere Kategorien betrafen Eingabevalidierung, das Erraten von CAPTCHAs, Autorisierung, Link-Auflösung und unkontrollierten Ressourcenverbrauch.
Wordfence stellte außerdem eine firewall rule für eine UDRPC key compromise bereit, die UpdraftPlus bis einschließlich 1.26.11 betraf. Eine firewall rule ist ein Filter, der übereinstimmende bösartige Anfragen blockieren soll. Kunden von Wordfence Premium, Care und Response erhielten die Regel sofort, während das kostenlose Plugin sie planmäßig nach einer Verzögerung von 30 Tagen erhalten sollte. Das Unternehmen gibt an, dass seine Schwachstellendatenbank mehr als 40.000 Einträge enthält und über seine kostenlose Benutzeroberfläche, seine application programming interface und seine Webhook-Integration zugänglich ist. Letztere kann Benachrichtigungen automatisch an ein anderes System senden.
Websitebetreiber sollten jedes installierte Plugin und Theme mit den betroffenen Versionen vergleichen, verfügbare Updates installieren und Software entfernen, die nicht verwendet wird oder ungepatcht bleibt. Vor dem Aktualisieren sollte ein Backup erstellt werden, es darf jedoch nicht als Ersatz für die Installation von Sicherheitskorrekturen betrachtet werden. Laut Wordfence sollten Websites, die das Plugin des Unternehmens mit aktivierter Scan-Funktion verwenden, bereits Benachrichtigungen erhalten haben, wenn sie betroffen sind. Für Organisationen, die bei diesen Arbeiten betriebliche Unterstützung bevorzugen, bietet AEU Hosting durchgehend abgesichertes Managed WordPress Hosting an.