WordPress-Sites sind mit 318 neu gelisteten Sicherheitslücken konfrontiert

Betreiber von WordPress-Sites haben eine lange Patch-Liste zu prüfen, nachdem Wordfence mitgeteilt hat, dass es für die Woche vom 21. September bis 27. September 2026 318 Schwachstellen in 221 WordPress-plugins zur Wordfence Intelligence Vulnerability Database hinzugefügt hat. Das Unternehmen führte die Offenlegungen auf 156 Sicherheitsforscher zurück und sagte, 305 der gelisteten Probleme seien gepatcht worden, während 13 zum Zeitpunkt der Veröffentlichung ungepatcht blieben.

Die Mischung der Schweregrade ist für Website-Betreiber wichtig, weil nicht alle plugin-Fehler dasselbe betriebliche Risiko mit sich bringen. Wordfence stufte 14 Schwachstellen als kritisch ein, 79 mit hohem Schweregrad und 225 mit mittlerem Schweregrad. CVSS, das Common Vulnerability Scoring System, ist die Bewertungsmethode, mit der eingestuft wird, wie schwerwiegend eine Sicherheitslücke ist. In dieser Sammlung war der häufigste Schwachstellentyp cross-site scripting, bei dem unsichere Eingaben dazu führen können, dass eine Website unerwünschten Script-Code im Browser eines Besuchers oder Administrators ausführt. Wordfence zählte 95 cross-site scripting-Einträge, gefolgt von 59 Problemen mit fehlender Autorisierung, 26 Problemen mit authorization bypass über benutzergesteuerte keys und 24 SQL injection-Problemen, bei denen unsichere Datenbankabfragen gespeicherte Daten offenlegen oder verändern können.

Mehrere kritische Einträge sind für Site-Administratoren besonders relevant, weil sie unauthenticated-Zugriff betreffen, was bedeutet, dass ein Angreifer nicht angemeldet sein müsste. Wordfence listete Automation Web Platform bis einschließlich 4.8.6 als von CVE-2026-14281 betroffen, einem unauthenticated privilege escalation-Problem über den Parameter wawp_custom_fields, mit einem CVSS-Score von 9.8 und dem Patch-Status patched. Give Tributes bis einschließlich 2.3.1 wurde mit CVE-2026-19658 gelistet, einem unauthenticated PHP object injection-Problem über den personalisierten Empfängerparameter give_tributes_ecard_notify, ebenfalls mit 9.8 bewertet und als patched markiert. PHP object injection ist eine Schwachstelle, bei der eine unsichere Verarbeitung gespeicherter PHP-Datenobjekte es einem Angreifer ermöglichen kann, das Verhalten der Anwendung zu beeinflussen.

Wordfence listete außerdem Meta Box AIO bis einschließlich 3.11.0 und eigenständige plugin-Erweiterungen mit CVE-2026-13355, beschrieben als unauthenticated privilege escalation zum Administrator über den Parameter rwmb_frontend_field_object_id. Zu den angezeigten betroffenen Software-Einträgen gehören Meta Box AIO, Meta Box Frontend Submission und Meta Box User Profile, und das Problem ist als patched markiert. Weitere kritische gepatchte Einträge umfassen miniOrange OTP Login, Verification and SMS Notifications bis einschließlich 5.5.5 mit CVE-2026-85984, einen unauthenticated authentication bypass über den Parameter mo_wp_login_intent, Paytium bis einschließlich 5.0.3 mit CVE-2026-18467, ein unauthenticated privilege escalation-Problem, Ultra Addons for Contact Form 7 bis einschließlich 3.5.50 mit CVE-2026-82901, einen unauthenticated arbitrary file upload über ein signature-Formularfeld, Visual Composer Website Builder bis einschließlich 45.16.0 mit CVE-2026-12227, eine unauthenticated local file inclusion über den Parameter vcv-template, und YAHMAN Add-ons bis einschließlich 0.9.30 mit CVE-2026-75799, ein unauthenticated remote code execution-Problem.

Ein kritischer plugin-Eintrag war in den von Wordfence veröffentlichten Daten nicht gepatcht: Request a Quote for WooCommerce bis einschließlich 2.9.2, nachverfolgt als CVE-2026-18143, ein unauthenticated arbitrary file upload-Problem über einen AJAX popup handler. Arbitrary file upload-Schwachstellen sind für Hosting- und E-Commerce-Teams wichtig, weil Upload-Pfade für Dateien zu einem Weg werden können, unerwünschte Dateien auf einer Website abzulegen, wenn die verwundbare Komponente nicht ordnungsgemäß einschränkt, was hochgeladen werden darf. Wordfence listete außerdem Customer Reviews for WooCommerce bis einschließlich 5.120.0 mit CVE-2026-89055, ein kritisches unauthenticated arbitrary attachment deletion-Problem, das als patched markiert ist, sowie Online Scheduling and Appointment Booking System, Bookly, bis einschließlich 28.2 mit CVE-2026-93399, ein kritisches booking token disclosure and deletion-Problem, das als patched markiert ist.

Die Gruppe mit hohem Schweregrad enthielt ein gepatchtes WordPress core-Problem: WordPress bis einschließlich 7.1.1, nachverfolgt als CVE-2026-87902, von Wordfence als unauthenticated local file inclusion-Problem über locate_template() path traversal beschrieben. Local file inclusion bedeutet, dass eine Schwachstelle Software dazu bringen kann, eine Datei vom selben System zu laden, die sie nicht laden sollte, und path traversal bedeutet, dass Eingaben so geformt werden können, dass Dateien außerhalb des vorgesehenen Ordners erreicht werden. Wordfence sagte, sein Threat Intelligence Team habe Schwachstellen auf Auswirkungen, Schweregrad und Wahrscheinlichkeit der Ausnutzung geprüft und erweiterte firewall-Regeln für drei geschwärzte Probleme ausgerollt, während es mit Anbietern an Patches arbeitete, plus das WordPress core local file inclusion-Problem. Laut Wordfence erhielten Premium-, Care- und Response-Kunden diese Schutzmaßnahmen sofort, während kostenlose Nutzer den erweiterten Schutz nach einer Verzögerung von 30 Tagen erhalten.

Weitere Beispiele mit hohem Schweregrad zeigen die Bandbreite der betroffenen plugin-Funktionen. Wordfence listete CartFlows bis einschließlich 3.2.0 mit CVE-2026-96837, ein authenticated Contributor-or-higher remote code execution-Problem, Elementor Website Builder Versionen 4.3.0 bis 4.3.1 mit CVE-2026-62062, ein cross-site request forgery-Problem über REST nonce bypass zu privilege escalation, s2Member bis einschließlich 260814 mit CVE-2026-19804, ein unauthenticated remote code execution-Problem über den Parameter first_name in PayPal Proxy Return, Ninja Forms bis einschließlich 3.15.3 mit CVE-2026-91827, ein unauthenticated PHP object injection-Problem, und WebFacing Email Accounts for cPanel Versionen 5.3 bis 5.3.6 mit CVE-2026-84069, ein unauthenticated local file inclusion-Problem. Ebenfalls gelistet wurden mehrere ungepatchte SQL injection- oder server-side request forgery-Einträge mit hohem Schweregrad, darunter Bluff Post bis einschließlich 1.1.1, Rename wp-login.php to anything you want bis einschließlich 2.0.1, SPS-Suite bis einschließlich 1.4.0 und Testimonials Widget bis einschließlich 4.0.4.

Für Unternehmen lautet die praktische Botschaft: zuerst Bestandsaufnahme, dann Risiko aktualisieren oder entfernen. Eine WordPress-Installation kann für Formulare, Zahlungen, Buchungen, Mitgliedschaften, Karten, Galerien, Bewertungen und E-Commerce-Workflows von vielen plugins abhängen, sodass ein verwundbares plugin außerhalb des offensichtlichen Security-Stacks liegen kann. Wordfence sagte, Sites, auf denen sein plugin mit aktiviertem Scanner läuft, sollten bereits benachrichtigt worden sein, wenn sie betroffen sind, doch Betreiber sollten ihre installierte plugin-Liste und Versionen dennoch mit der betroffenen Software abgleichen, die sie nutzen, insbesondere wenn ein Problem ungepatcht oder unauthenticated ist. Für Leser, die Unternehmenssites betreiben, ist AEU Hosting relevant, weil es managed WordPress hosting bereitstellt, end-to-end gesichert, was zum Bedarf passt, WordPress-Umgebungen gepflegt und sicherheitsorientiert zu halten. In den hier zitierten Wordfence-Daten waren keine Angaben zu Ausnutzung enthalten, daher besteht die unmittelbare Maßnahme darin, die eigene Betroffenheit zu prüfen, verfügbare Fixes einzuspielen und plugins zu deaktivieren oder zu ersetzen, wenn kein Patch verfügbar ist.