WordPress-Schwachstellen steigen auf 362, davon 43 ungepatcht
Die Zahl der WordPress-Schwachstellen, also Softwarefehler, durch die eine Website oder ihre Daten offengelegt werden können, belief sich bei den vom 14. bis 20. September 2026 neu in die Wordfence Intelligence Vulnerability Database aufgenommenen Meldungen auf insgesamt 362. Wordfence ordnete die Probleme 247 Plugins und vier Themes zu; 186 Sicherheitsforscher wirkten an den Meldungen mit. Von den offengelegten Schwachstellen waren 319 als gepatcht gekennzeichnet, während 43 ungepatcht blieben.
Die Aufschlüsselung nach Schweregrad umfasste 18 kritische, 74 hohe, 266 mittlere und vier Schwachstellen mit niedrigem Schweregrad. Wordfence verwendet das Common Vulnerability Scoring System (CVSS), eine Standardskala zur Bewertung der potenziellen Auswirkungen und Ausnutzbarkeit von Sicherheitslücken. cross-site scripting war mit 94 Einträgen die größte Schwachstellenkategorie. Bei dieser Art von Sicherheitslücke können unsichere Inhalte auf einer Webseite gespeichert oder angezeigt werden. Fehlende Autorisierung folgte mit 69 Einträgen, während SQL injection, bei der speziell präparierte Eingaben Datenbankbefehle beeinflussen können, 35 Einträge ausmachte. Weitere bedeutende Kategorien waren 27 Fälle von authorization bypass mit benutzergesteuerten Keys, 27 Offenlegungen sensibler Informationen, 19 Schwachstellen bei der Berechtigungsverwaltung, 13 Probleme durch code injection und 12 gefährliche Schwachstellen beim file upload.
Unter den Meldungen befand sich auch eine WordPress Core-Schwachstelle mit hohem Schweregrad. WordPress-Versionen bis einschließlich 7.1 waren durch gespeichertes cross-site scripting ohne Authentifizierung in der Verarbeitung von Blockquotes durch wpautop() betroffen. Ohne Authentifizierung bedeutet, dass sich ein Angreifer nicht zuerst anmelden müsste. Das unter CVE-2026-93485 geführte Problem mit einem CVSS-Wert von 7.2 war als gepatcht gekennzeichnet. Wordfence erklärte, sofort zusätzlichen Schutz durch eine web application firewall bereitgestellt zu haben, die potenziell schädliche Website-Anfragen filtert. Dieser Schutz wurde für Premium-, Care- und Response-Kunden aktiviert. Kostenlose Nutzer sollten ihn nach 30 Tagen erhalten.
Wordfence stellte außerdem eine separate, als WAF-RULE-957 bezeichnete Regel bereit, hielt deren technische Einzelheiten jedoch zurück, während das Unternehmen gemeinsam mit dem zuständigen Anbieter an einem Patch arbeitete. Das bedeutet, dass Administratoren anhand der öffentlichen Beschreibung nicht erkennen können, welche Software betroffen ist. Diese Meldung darf nicht mit dem Problem in WordPress Core verwechselt werden, das Wordfence separat benannte und als gepatcht kennzeichnete.
Elf der 18 kritischen Schwachstellen waren als gepatcht aufgeführt. Dazu gehörte remote code execution ohne Authentifizierung in Advanced Custom Fields: Extended PRO bis einschließlich Version 0.9.2.6 und Migratico Lite bis einschließlich Version 2.6.8. remote code execution bedeutet, dass jemand einen Server aus der Ferne Softwarebefehle ausführen lassen kann. Wordfence erfasste außerdem kritische Schwachstellen vom Typ privilege escalation in Choose User Role at Registration for WooCommerce bis einschließlich Version 1.3.2 und JetFormBuilder bis einschließlich Version 3.6.2 sowie eine ohne Authentifizierung ausnutzbare file upload-Schwachstelle in Gravity Forms bis einschließlich Version 3.1.0.4.
Weitere gepatchte kritische Einträge betrafen TrueBooker bis einschließlich Version 1.2.3, Ultimate Addons for Contact Form 7 in den Versionen 3.2.4 bis 3.5.50, WooCommerce Online Product Designer bis einschließlich Version 2.14.0 und wpShopGermany IT-RECHT KANZLEI bis einschließlich Version 2.3. Forminator Forms bis einschließlich Version 1.57.2 und WP Recipe Maker bis einschließlich Version 10.8.1 waren von der ohne Authentifizierung möglichen Ausführung beliebiger shortcode-Anweisungen betroffen. Dadurch kann WordPress über unsichere Eingaben bereitgestellte Website-Anweisungen verarbeiten.
Sieben kritische Einträge blieben ungepatcht. Admin Menu Editor Pro in den Versionen 2.35 bis 2.36 war als Software mit Backdoor aufgeführt. DS Ad Rotator bis einschließlich Version 0.8, Multi Uploader for Gravity Forms bis einschließlich Version 1.1.9 und WP images upload on piclect bis einschließlich Version 1.0 wiesen ohne Authentifizierung ausnutzbare Schwachstellen für beliebige file uploads auf. Login with QR bis einschließlich Version 1.0.0, Private Feed Key bis einschließlich Version 0.1 und The Pressengine bis einschließlich Version 1.0 hatten Schwachstellen vom Typ authentication bypass, die potenziell geschützten Zugriff ohne die normale Anmeldeprüfung ermöglichten.
Die Ergebnisse mit hohem Schweregrad betrafen zudem mehrere häufig verwendete Website-Funktionen. Consulting-Theme-Versionen bis einschließlich 6.7.16 enthielten eine gepatchte privilege escalation-Schwachstelle, die von Nutzern mit der Rolle Subscriber ausgenutzt werden konnte. Location Manager bis einschließlich Version 2.3.38 und Ni WooCommerce Sales Report bis einschließlich Version 4.1.0 hatten gepatchte, ohne Authentifizierung ausnutzbare SQL injection-Schwachstellen. Vergleichbare SQL injection-Einträge blieben in Album Cover Finder bis einschließlich Version 0.7.0, Price Drop Alert for WooCommerce bis einschließlich Version 1.1, Product Question and Answer bis einschließlich Version 1.1.0, SAMO Forms bis einschließlich Version 1.0.0 und Yo in den Versionen 1.1 bis 1.3.1 ungepatcht.
Bei den vier Themes in der Wochenstatistik handelte es sich um Bridge, Consulting, Divi und VW Writer Blog. Die erheblich längere Plugin-Liste umfasste Formulare, E-Commerce, Buchungen, Mitgliedschaften, Seitenerstellung, Galerien, Authentifizierung, Caching und weitere Website-Funktionen. Website-Betreiber müssen installierte Software daher anhand des genauen Produkts und der genauen Version überprüfen, anstatt davon auszugehen, dass WordPress Core die einzige Komponente ist, die Aufmerksamkeit erfordert.
Administratoren sollten jeden als gepatcht gekennzeichneten Eintrag aktualisieren und ungepatchte Software anschließend deaktivieren und entfernen, sofern sie nicht unverzichtbar ist und bis zur Bereitstellung einer Korrektur isoliert werden kann. Sie sollten außerdem Administratorkonten, kürzlich hochgeladene Dateien und unerwartete Änderungen an der Website überprüfen, insbesondere wenn eine Schwachstelle authentication bypass, privilege escalation, code execution oder beliebige file uploads ermöglichte. Für Organisationen, die ihre WordPress-Infrastruktur nicht allein verwalten möchten, bietet AEU Hosting vollständig abgesichertes Managed WordPress Hosting an.
Die Zahlen verdeutlichen, wie wichtig ein genaues Verzeichnis aller Plugins und Themes ist. Eine installierte, aber nicht mehr aktiv verwendete Komponente kann weiterhin anfälligen Code auf dem Server hinterlassen. Ein Sicherheitsupdate kann eine Website zudem erst schützen, wenn die korrigierte Version tatsächlich installiert wurde.