WordPress-Schwachstellen erreichen 498 bei Plugins und Themes
Laut Wordfence Intelligence erreichte die Zahl der vom 12. bis 18. Oktober 2026 offengelegten WordPress-Schwachstellen insgesamt 498 in 328 Plugins und 23 Themes. Von diesen Sicherheitslücken wurden 431 als gepatcht aufgeführt, während 67 ungepatcht blieben. Wordfence nannte 218 Sicherheitsforscher, die in dieser Woche Erkenntnisse beisteuerten, während 40 Einträge auf das PRISM-Programm entfielen. Angesichts dieser Menge sollten Websitebetreiber installierte Erweiterungen anhand des genauen Produkts und der exakten Version überprüfen, statt davon auszugehen, dass ein routinemäßiges Update des WordPress core die Risiken beseitigt.
Die Aufschlüsselung nach Schweregrad umfasste 23 kritische, 153 hochgradige, 316 mittlere und sechs geringfügige Schwachstellen. Diese Bewertungen verwenden CVSS, das Common Vulnerability Scoring System, das eine Punktzahl vergibt, die die potenziellen Auswirkungen einer Sicherheitslücke und die Einfachheit ihrer Ausnutzung widerspiegelt. Die größte technische Kategorie war die unsachgemäße Verarbeitung von Eingaben, die zur Erzeugung von Webseiten verwendet werden, mit 159 Fällen, gefolgt von 116 Sicherheitslücken aufgrund fehlender Autorisierung. Wordfence verzeichnete außerdem 34 SQL injection-Probleme, bei denen manipulierte Eingaben Datenbankbefehle verändern können, sowie 33 Fälle von unsafe deserialization, bei denen gespeicherte Daten ohne ausreichende Prüfungen wieder zu Softwareobjekten zusammengesetzt werden. Weitere Summen umfassten 31 Offenlegungen vertraulicher Informationen, 22 Fehler bei der Verwaltung von Berechtigungen, 20 Umgehungen der Autorisierung mit nutzergesteuerten Schlüsseln, 15 Schwachstellen bei der Codeerzeugung, 11 gefährliche Datei-Uploads und 10 path traversal-Probleme, durch die auf Dateien außerhalb eines vorgesehenen Verzeichnisses zugegriffen werden könnte.
Die übrigen Kategorien waren neun unzureichende Echtheitsprüfungen, sieben cross-site request forgery-Schwachstellen, sechs Probleme mit unsachgemäßer Authentifizierung, fünf unsichere Kontrollen für PHP include oder require, vier Fälle einer clientseitigen Durchsetzung serverseitiger Sicherheit, drei Fehler bei der Autorisierung, drei server-side request forgery-Probleme, zwei allgemeine Fehler bei der Eingabevalidierung und zwei Weiterleitungen zu nicht vertrauenswürdigen Websites. Jeweils ein einzelner Fund betraf unsicheren gleichzeitigen Zugriff auf eine gemeinsam genutzte Ressource, eingebetteten Schadcode, unsachgemäße Zugriffskontrolle, unsichere an eine andere Komponente übergebene Ausgaben, command injection und unzureichend zufällige Werte.
Neunzehn kritische Sicherheitslücken erhielten einen CVSS-Wert von 9,8. Dazu gehörten ein nicht authentifizierter beliebiger Datei-Upload in 10Web Booster bis einschließlich Version 2.34.10, erfasst als CVE-2026-108587, sowie zwei Sicherheitslücken in Abandoned Cart Pro for WooCommerce bis einschließlich Version 10.8.0: authentication bypass über einen Wiederherstellungslink, CVE-2026-97657, und SQL injection über Warenkorbdaten von Gästen, CVE-2026-97668. Nicht authentifiziert bedeutet, dass sich ein Angreifer nicht anmelden müsste. AGE-GATE bis einschließlich Version 1.0 wies ein ungepatchtes Problem mit PHP code injection auf, das remote code execution ermöglichte, sodass Befehle auf dem Server ausgeführt werden konnten; es wird unter CVE-2026-104800 geführt. JTL-Connector for WooCommerce bis einschließlich 2.4.3 blieb ebenfalls wegen eines beliebigen Datei-Uploads ungepatcht, CVE-2026-87855.
Weitere mit 9,8 bewertete Probleme wurden in ELEX WordPress HelpDesk bis einschließlich 3.3.7, CVE-2026-103768, LearnPress bis einschließlich 4.4.10, CVE-2026-104736, MailOptin bis einschließlich 1.2.78.6, CVE-2026-109515, Mang Board 2.4.4, CVE-2026-109219, MDTF bis einschließlich 1.3.9, CVE-2026-108151, My Calendar bis einschließlich 3.8.7, CVE-2026-104798, OTP Login & Register Woocommerce bis einschließlich 2.7.2, CVE-2026-110135, Printcart Store bis einschließlich 2.9.1, CVE-2026-93388, SimpleForm bis einschließlich 3.10.0, CVE-2026-104748, Sunshine Photo Cart bis einschließlich 3.7.4, CVE-2026-104730, The Grid bis einschließlich 2.8.1, CVE-2026-94169, und Theme My Login bis einschließlich 7.2.1, CVE-2026-89079, gepatcht. Rank Math SEO PRO 3.0.123 wurde im Zusammenhang mit eingebettetem Schadcode unter CVE-2026-111862 als gepatcht aufgeführt. Snazzy Social Media Feed bis einschließlich 2.5 blieb wegen einer Sicherheitslücke für beliebige Datei-Uploads ungepatcht, CVE-2026-110002.
Vier weitere kritische Funde erhielten einen Wert von 9,1. LatePoint bis einschließlich 5.7.4 wies einen gepatchten authentication bypass auf, der durch eine race condition im Zähler für Einmalpasswort-Versuche verursacht wurde, CVE-2026-110653. Click to Chat bis einschließlich 4.44 hatte ein gepatchtes Problem, das die beliebige Ausführung von Shortcodes ermöglichte, CVE-2026-92097, während File Upload to Order bis einschließlich 1.1.3 eine gepatchte Sicherheitslücke zum beliebigen Löschen von Dateien aufwies, CVE-2026-107594. BuddyPress XProfile Custom Image Field bis einschließlich 3.1.0 blieb wegen des nicht authentifizierten beliebigen Löschens von Dateien ungepatcht; der von Wordfence angezeigte Datenbankeintrag führte keine CVE-Kennung auf.
Zu den Sicherheitslücken mit hohem Schweregrad gehörten remote code execution- oder Datei-Upload-Probleme in affiliate-toolkit, DoubleScale CRM, Email Customizer for WooCommerce, FV Flowplayer, HivePress, MapSVG, WP Photo Album Plus und YaySMTP. Der erforderliche Zugriff reichte von subscriber über contributor bis hin zu anderen produktspezifischen Rollen. PilotPress bis einschließlich 2.0.43 und Salon Booking System in den Versionen 10.17 bis 10.31.10 wiesen gepatchte privilege escalation-Probleme auf. Gravity Forms vor Version 3.1.1 hatte eine gepatchte, nicht authentifizierte PHP object injection-Sicherheitslücke, CVE-2026-97296, während Backuply bis einschließlich 1.5.8 und Search Regex 3.5 gepatchte, mit 8,0 bewertete Sicherheitslücken aufwiesen, die zu privilege escalation oder remote code execution führen konnten.
Eine auffällige Gruppe von Themes war zum Zeitpunkt der Veröffentlichung weiterhin ungepatcht. Avventure, Bonbon, Coinpress, Edge Decor, EmojiNation, Filmax, gamezone, Gamic, Good Homes, Gunslinger, Le Truffe, Legal Stone, Marcell, Meals & Wheels, Mission, Motorix, Muzicon, Nuts und Orpheus wurden jeweils mit nicht authentifizierten PHP object injection-Schwachstellen aufgeführt, die mit 8,1 bewertet waren. Die jeweils höchste betroffene Version unterschied sich je nach Theme, und die Einträge trugen CVE-Kennungen von CVE-2026-61997 bis CVE-2026-62018, wobei es in dieser Abfolge Lücken gab. Wordfence meldete außerdem ungepatchte Sicherheitsprobleme mit hohem Schweregrad in Contact Form 7 Signature Addon bis einschließlich 4.2.2, Gmedia Photo Gallery bis einschließlich 1.25.1 und JTL-Connector bis einschließlich 2.4.3.
Wordfence teilte mit, WAF-RULE-966 und WAF-RULE-967 bereitgestellt zu haben, während technische Details zurückgehalten wurden, solange gemeinsam mit den Anbietern an Patches gearbeitet wurde. Zusätzlich wurde Schutz vor einem PHP object injection-Problem in Kommentaren bereitgestellt. Eine WAF prüft Webanfragen und kann bekannte schädliche Muster blockieren. Premium-, Care- und Response-Kunden erhielten diese Regeln sofort, während das kostenlose Plugin sie planmäßig nach einer Verzögerung von 30 Tagen erhalten sollte. Wordfence bietet außerdem kostenlosen Zugriff auf seine Schwachstellen-Schnittstelle, API und webhook-Integrationen, einschließlich einer Datenbank mit mehr als 40.000 Schwachstellen; ein webhook sendet automatisch eine Aktualisierung an einen anderen Dienst, wenn sich Informationen in der Datenbank ändern.
Websites, die das Wordfence-Plugin mit aktivierter Scan-Funktion verwenden, sollten bei einer Betroffenheit Hinweise erhalten haben, doch Administratoren müssen weiterhin auf diese Warnungen reagieren. Bei ungepatchten Produkten ist das Deaktivieren und Entfernen der betroffenen Erweiterung der eindeutigste Weg, ihren Code von der Website zu entfernen, bis eine korrigierte Version verfügbar ist. Für Organisationen, die ihre Websiteplattform lieber als Dienst verwalten lassen, bietet AEU Hosting vollständig abgesichertes Managed WordPress Hosting an. Unabhängig von der Hosting-Konfiguration sollten Betreiber eine Bestandsliste der aktiven Plugins und Themes führen, nicht mehr verwendete Software entfernen und prüfen, ob die installierten Versionen außerhalb der betroffenen Versionsbereiche liegen.