Kritische Super Forms Schwachstelle CVE-2026-14894 wird aktiv ausgenutzt
Eine kritische Sicherheitslücke im WordPress-Plugin Super Forms wird aktiv von Angreifern ausgenutzt. Die Schwachstelle ist als CVE-2026-14894 registriert und ermöglicht unter bestimmten Voraussetzungen das Hochladen beliebiger Dateien ohne vorherige Authentifizierung. Dadurch kann ein Angreifer Schadcode auf einer WordPress-Website platzieren und möglicherweise Remote Code Execution erreichen.
Aufgrund der aktiven Ausnutzung sollten Websites mit einer anfälligen Version von Super Forms unverzüglich aktualisiert und zusätzlich auf Hinweise auf eine mögliche Kompromittierung überprüft werden.
Super Forms Schwachstelle CVE-2026-14894
Super Forms ist ein WordPress-Plugin zur Erstellung und Verarbeitung von Formularen. Die Schwachstelle befindet sich in der Verarbeitung von Formularübermittlungen und Datei-Uploads.
Ein Angreifer kann speziell präparierte Anfragen an die Formularfunktionen senden und dabei Sicherheitsprüfungen umgehen. Dadurch können Dateien hochgeladen werden, die normalerweise nicht akzeptiert werden sollten.
Wenn ausführbare PHP-Dateien in einem über das Internet erreichbaren Verzeichnis abgelegt werden können, kann dies zur Ausführung von Schadcode auf dem Server führen.
Die wichtigsten Informationen
- Produkt: Super Forms
- CVE: CVE-2026-14894
- Schweregrad: Critical
- CVSS: 9.8
- Typ: Unauthenticated Arbitrary File Upload
- Mögliche Folge: Remote Code Execution
- Authentifizierung erforderlich: nein
- Betroffene Versionen: bis einschließlich 6.3.313
- Gepatchte Version: 6.3.314 oder neuer
- Exploit-Status: aktive Ausnutzung beobachtet
Warum ist diese Schwachstelle kritisch?
Für einen Angriff ist kein bestehendes WordPress-Benutzerkonto erforderlich. Dadurch können automatisierte Angriffe direkt aus dem Internet gegen verwundbare Websites durchgeführt werden.
Bei erfolgreicher Ausnutzung kann ein Angreifer eine schädliche Datei auf die Website hochladen. Wenn diese Datei anschließend über den Webserver ausgeführt werden kann, erhält der Angreifer die Möglichkeit, eigenen PHP-Code auszuführen.
Abhängig von der Server- und WordPress-Konfiguration kann ein Angreifer anschließend unter anderem:
- Malware oder Webshells installieren;
- WordPress-Dateien verändern;
- Administratorkonten erstellen;
- Daten aus der Website oder Datenbank auslesen;
- Besucher auf schädliche Websites umleiten;
- Spam- oder Phishing-Seiten installieren;
- weitere Persistenzmechanismen einrichten.
Schwachstelle wird aktiv ausgenutzt
Besonders kritisch ist, dass CVE-2026-14894 nicht nur theoretisch ausnutzbar ist. Sicherheitsforscher haben tatsächliche Exploit-Versuche gegen verwundbare WordPress-Websites beobachtet.
Die beobachteten Angriffe versuchen automatisiert, die Upload-Funktion des Plugins zu missbrauchen und schädliche Dateien auf betroffenen Websites abzulegen.
Websites, auf denen eine anfällige Super-Forms-Version öffentlich erreichbar war, sollten deshalb nicht nur aktualisiert, sondern zusätzlich auf eine mögliche Kompromittierung untersucht werden.
Was sollten Sie jetzt tun?
- Überprüfen Sie alle WordPress-Websites, auf denen Super Forms installiert ist.
- Kontrollieren Sie die tatsächlich installierte Plugin-Version.
- Aktualisieren Sie Super Forms unverzüglich auf Version 6.3.314 oder eine neuere sichere Version.
- Überprüfen Sie nach dem Update, ob die neue Version tatsächlich aktiv ist.
- Kontrollieren Sie Upload-Verzeichnisse und PHP-Dateien auf ungewöhnliche oder unbekannte Dateien.
- Überprüfen Sie die Website auf weitere Hinweise auf eine Kompromittierung.
Wenn ein sofortiges Update nicht möglich ist und Super Forms nicht zwingend benötigt wird, empfehlen wir, das Plugin vorübergehend zu deaktivieren, bis eine sichere Version installiert werden kann.
Auf mögliche Kompromittierung prüfen
Da aktive Angriffe beobachtet wurden, empfehlen wir für Websites, auf denen eine anfällige Version installiert war, eine zusätzliche Sicherheitskontrolle.
- Überprüfen Sie Upload-Verzeichnisse auf unbekannte PHP-, PHTML- oder andere ausführbare Dateien.
- Kontrollieren Sie kürzlich erstellte oder veränderte PHP-Dateien.
- Überprüfen Sie WordPress-Benutzer auf unbekannte Administratorkonten.
- Kontrollieren Sie installierte Plugins und Themes auf unerwartete Ergänzungen.
- Überprüfen Sie Webserver-Logs auf verdächtige POST-Anfragen und Upload-Aktivitäten.
- Kontrollieren Sie WordPress-Cron und Server-Crontabs auf unbekannte Aufgaben.
- Überprüfen Sie Malware-, WAF- und Sicherheitslogs auf verdächtige Aktivitäten.
Nach einem erfolgreichen Angriff reicht ein Update nicht aus
Wenn ein Angreifer bereits eine schädliche Datei hochgeladen und ausgeführt hat, entfernt ein Update von Super Forms diese Datei nicht automatisch.
Ein Angreifer kann zusätzliche Backdoors, Administratorkonten, PHP-Dateien, Plugins oder Cronjobs eingerichtet haben, um den Zugriff auf die Website dauerhaft aufrechtzuerhalten.
Sichern Sie relevante Logs und andere Spuren, bevor verdächtige Dateien oder Benutzerkonten entfernt werden.
Bei einer bestätigten Kompromittierung sollten außerdem relevante Zugangsdaten geändert und bestehende WordPress-Sitzungen ungültig gemacht werden. Dazu gehören je nach Situation WordPress-Passwörter, Datenbank-Zugangsdaten, API-Schlüssel und andere innerhalb der Website verwendete Zugangsdaten.
Verantwortung für CMS-Updates
Kunden ohne Managed WordPress/CMS-Wartung oder einen separaten Managed-CMS-Service sind selbst dafür verantwortlich, WordPress, andere CMS-Software, Plugins, Erweiterungen und Themes rechtzeitig zu aktualisieren.
Wenn eine Website aufgrund von Missbrauch, Malware oder nachweislich überfälliger Wartung ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betreffende Website oder den Dienst vorübergehend isolieren oder deaktivieren.
Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weitere Schäden, Missbrauch oder die Verbreitung von Malware zu verhindern.
Wiederherstellungsarbeiten an nicht verwalteten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen sind von der Schwere des Vorfalls und unserer Verfügbarkeit abhängig. Wenn kein sofortiges Eingreifen erforderlich ist, können Wiederherstellungsarbeiten ab dem nächsten Werktag durchgeführt werden.
Managed WordPress von Vservs
Aktiv ausgenutzte Schwachstellen wie CVE-2026-14894 zeigen, wie wichtig eine kontinuierliche Überwachung und zeitnahe Aktualisierung von WordPress-Plugins ist.
Bei Managed WordPress von Vservs werden relevante Sicherheitsupdates, technische Wartungsarbeiten und Kontrollen im Rahmen der vereinbarten Managed-Dienstleistung von uns durchgeführt.
Möchten Sie die technische Wartung und Sicherheitsupdates Ihrer WordPress-Umgebung nicht selbst durchführen? Dann informieren Sie sich über unsere Managed-WordPress-Lösungen.