Kritische Elementor Upload-Sicherheitslücke ermöglicht Remote Code Execution
Elementor Upload-Sicherheitslücke CVE-2026-18351 ermöglicht nicht authentifizierten Angreifern den Upload beliebiger Dateien über das WordPress-Plugin Drag and Drop File Upload for Elementor Forms.
Ein externer Angreifer benötigt dafür kein WordPress-Benutzerkonto. Durch die Umgehung der Dateiprüfung des Plugins kann eine Datei hochgeladen werden, die letztendlich als ausführbare PHP-Datei auf dem Server gespeichert wird.
Eine erfolgreiche Ausnutzung kann dadurch zu Remote Code Execution und im schlimmsten Fall zur vollständigen Kompromittierung der betroffenen WordPress-Website führen.
Die Sicherheitslücke betrifft Drag and Drop File Upload for Elementor Forms bis einschließlich Version 1.6.0. Das Problem wurde in Version 1.6.1 behoben. Websites mit einer betroffenen Version sollten daher umgehend aktualisiert werden.
Elementor Upload-Sicherheitslücke CVE-2026-18351
Drag and Drop File Upload for Elementor Forms ist eine WordPress-Erweiterung, die Elementor Forms um eine Drag-and-Drop-Funktion für den Upload mehrerer Dateien erweitert.
Das Plugin kann beispielsweise für Kontaktformulare, Bewerbungsformulare, Supportanfragen, Dokumenten-Uploads und andere Formulare verwendet werden, bei denen Besucher Dateien auf eine WordPress-Website hochladen dürfen.
Bei einer solchen Funktion ist eine korrekte Überprüfung der hochgeladenen Dateitypen besonders wichtig. CVE-2026-18351 ermöglicht es, diese Sicherheitskontrolle in verwundbaren Versionen zu umgehen.
Fakten zu CVE-2026-18351
- Produkt: Drag and Drop File Upload for Elementor Forms
- Plattform: WordPress / Elementor Forms
- CVE: CVE-2026-18351
- Schwachstellentyp: Arbitrary File Upload / Unrestricted Upload of File with Dangerous Type
- CWE: CWE-434
- Betroffene Versionen: ≤ 1.6.0
- Gepatchte Version: 1.6.1
- Aktive Installationen: 1.000+
- CVSS: 9.8 Critical laut Wordfence/NVD
- Attack Vector: Network
- Attack Complexity: Low
- Authentifizierung erforderlich: Nein
- Benutzerinteraktion erforderlich: Nein
- Mögliche Auswirkungen: Upload ausführbarer Dateien und Remote Code Execution
- Aktive Ausnutzung: zum Zeitpunkt der Veröffentlichung nicht zuverlässig bestätigt
- Erforderliche Maßnahme: sofort auf Version 1.6.1 oder neuer aktualisieren
Wie funktioniert die Sicherheitslücke?
Die Schwachstelle befindet sich in der Funktion, mit der das Plugin überprüft, ob eine hochgeladene Datei einem erlaubten Dateityp entspricht.
Laut den veröffentlichten technischen Informationen verwendet die Funktion is_file_type_valid() Informationen aus einem vom Angreifer beeinflussbaren type-Parameter bei der Prüfung erlaubter MIME-Typen und Dateiendungen.
Diese Prüfung kann mit einer speziell präparierten Dateiendung manipuliert werden.
Anschließend wird der Dateiname von WordPress mit sanitize_file_name() verarbeitet. Dabei kann der manipulierte Dateiname so normalisiert werden, dass daraus eine PHP-Dateiendung entsteht.
Dadurch kann eine Datei, die die ursprüngliche Sicherheitsprüfung passiert, letztendlich als ausführbare PHP-Datei auf dem Server gespeichert werden.
Kein WordPress-Benutzerkonto erforderlich
Ein besonders wichtiger Aspekt von CVE-2026-18351 ist, dass für die Ausnutzung keine Authentifizierung erforderlich ist.
Ein Angreifer muss daher nicht zuerst ein Subscriber-, Author-, Editor- oder Administrator-Konto übernehmen.
Wenn ein verwundbares Elementor-Formular mit dem betroffenen Upload-Feld öffentlich über das Internet erreichbar ist, kann ein externer Angreifer versuchen, die Upload-Funktion direkt anzugreifen.
Der CVSS-Vektor weist außerdem auf eine niedrige Angriffskomplexität hin. Eine Interaktion durch einen Benutzer ist nicht erforderlich.
Vom Datei-Upload zur Remote Code Execution
Eine Arbitrary-File-Upload-Schwachstelle ist besonders gefährlich, wenn ausführbare PHP-Dateien in ein über den Webserver erreichbares Verzeichnis hochgeladen werden können.
Ein Angreifer kann beispielsweise versuchen, PHP-Code hochzuladen, der als Webshell oder Backdoor dient.
Kann diese Datei anschließend über den Webserver aufgerufen werden, wird der PHP-Code mit den Berechtigungen der PHP- beziehungsweise Webserver-Umgebung ausgeführt.
Abhängig von der Serverkonfiguration kann ein Angreifer anschließend unter anderem:
- WordPress-Dateien lesen oder verändern;
- Malware oder weitere Backdoors installieren;
- WordPress-Konfigurationsdaten auslesen;
- mit den vorhandenen WordPress-Zugangsdaten auf die Datenbank zugreifen;
- WordPress-Administrator-Konten erstellen;
- Plugins oder Themes manipulieren;
- Spam, Phishing oder Malware über die Website verbreiten;
- die kompromittierte Website als Ausgangspunkt für weitere Angriffe innerhalb der Hosting-Umgebung verwenden.
Die tatsächlichen Auswirkungen hängen unter anderem von der Serverkonfiguration und den Berechtigungen ab, unter denen PHP ausgeführt wird.
Sofort auf Version 1.6.1 aktualisieren
Die dauerhafte Lösung für diese Elementor Upload-Sicherheitslücke ist die Aktualisierung des betroffenen Plugins.
Alle Versionen bis einschließlich 1.6.0 sind betroffen.
Installieren Sie mindestens Drag and Drop File Upload for Elementor Forms 1.6.1.
Wenn inzwischen eine neuere stabile Version verfügbar ist, empfiehlt Vservs nach Prüfung der Kompatibilität die Installation der aktuellsten unterstützten Version.
Wird das Plugin nicht mehr benötigt, sollte es vollständig entfernt und nicht lediglich deaktiviert werden.
Früher verwundbare Websites auf PHP-Dateien überprüfen
Da diese Sicherheitslücke den Upload ausführbarer Dateien ermöglichen kann, sollten Administratoren von Websites, auf denen Version 1.6.0 oder älter verwendet wurde, nicht nur das Update installieren, sondern die Website zusätzlich auf Anzeichen einer möglichen Kompromittierung untersuchen.
Zum Zeitpunkt der Veröffentlichung sind keine zuverlässigen spezifischen Indicators of Compromise bekannt, mit denen eine Ausnutzung von CVE-2026-18351 eindeutig festgestellt werden kann.
Vservs veröffentlicht daher keine unbestätigten IP-Adressen, Dateinamen oder andere spekulative IoCs.
Überprüfen Sie mindestens:
- unerwartete PHP-Dateien in WordPress-Upload-Verzeichnissen;
- PHP-Dateien in Verzeichnissen, die vom Elementor-Upload-Feld verwendet werden;
- kürzlich erstellte PHP-, PHTML- oder andere ausführbare Dateien;
- Dateien mit ungewöhnlichen oder doppelten Dateiendungen;
- unbekannte Dateien unter
wp-content/uploads/; - unbekannte WordPress-Administrator-Konten;
- kürzlich installierte Plugins oder Themes;
- unerwartete Änderungen an
functions.php; - unerwartete Änderungen an
wp-config.php; - unbekannte Cronjobs oder geplante Aufgaben;
- unerwartete Änderungen an
.htaccessoder.user.ini; - verdächtige Upload-Anfragen in den Webserver-Logs.
Verlassen Sie sich bei der Untersuchung verdächtiger Dateien nicht ausschließlich auf das Änderungsdatum. Bei einer tatsächlichen Kompromittierung können Zeitstempel manipuliert werden, um Schadcode weniger auffällig erscheinen zu lassen.
Webserver-Logs auf verdächtige Datei-Uploads prüfen
Wenn historische Webserver-Logs verfügbar sind, sollten insbesondere Requests an Formulare untersucht werden, auf denen Drag and Drop File Upload for Elementor Forms aktiv war.
Achten Sie dabei unter anderem auf:
- eine große Anzahl von Upload-Requests von derselben IP-Adresse;
- ungewöhnliche Dateiendungen;
- Requests, bei denen der
type-Parameter ungewöhnliche Werte enthält; - Uploads, auf die kurze Zeit später separate HTTP-Requests auf die hochgeladene Datei folgen;
- HTTP-Requests auf unbekannte PHP-Dateien innerhalb von Upload-Verzeichnissen;
- POST-Requests, auf die auffällige GET-Requests zu kürzlich erstellten Dateien folgen.
Diese Prüfungen sind allgemeine Compromise-Checks. Eine einzelne Auffälligkeit beweist nicht automatisch, dass CVE-2026-18351 tatsächlich erfolgreich ausgenutzt wurde.
Keine bestätigte aktive Ausnutzung
Zum Zeitpunkt der Veröffentlichung haben wir keine zuverlässige Bestätigung gefunden, dass CVE-2026-18351 aktiv in freier Wildbahn ausgenutzt wird.
Patchstack stuft die Schwachstelle als High Priority ein. Arbitrary-File-Upload-Schwachstellen dieser Art können für automatisierte Angriffe besonders interessant werden, sobald technische Details öffentlich verfügbar sind.
Diese Risikobewertung ist jedoch nicht mit einer Bestätigung gleichzusetzen, dass diese konkrete Sicherheitslücke derzeit tatsächlich aktiv angegriffen wird.
Die Kombination aus fehlender Authentifizierung, niedriger Angriffskomplexität, beliebigem Datei-Upload und möglicher Remote Code Execution ist dennoch Grund genug, das Sicherheitsupdate unverzüglich zu installieren.
Verantwortung für WordPress- und CMS-Sicherheitsupdates
Kunden ohne Managed WordPress/CMS-Wartung oder eine separat vereinbarte Managed-CMS-Dienstleistung sind selbst dafür verantwortlich, WordPress, WooCommerce, andere CMS-Systeme, Plugins, Erweiterungen und Themes rechtzeitig zu aktualisieren.
Wenn eine Website oder ein Dienst aufgrund von Missbrauch, Malware oder nachweislich überfälliger Wartung ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betroffene Website oder den betreffenden Dienst vorübergehend isolieren oder deaktivieren.
Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weitere Schäden, Missbrauch oder Störungen unserer Infrastruktur und Dienste zu verhindern.
Wiederherstellungsarbeiten an nicht verwalteten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen hängen von der Schwere des Vorfalls und der verfügbaren Kapazität ab. Wenn kein sofortiges Eingreifen erforderlich ist, können Wiederherstellungsarbeiten ab dem nächsten Werktag durchgeführt werden.
Vservs Managed WordPress
CVE-2026-18351 zeigt erneut, dass WordPress-Sicherheit nicht bei WordPress Core endet. Bereits eine vergleichsweise kleine Erweiterung für eine einzelne Elementor-Formularfunktion kann eine Schwachstelle einführen, die serverseitige Codeausführung ermöglicht.
Mit Vservs Managed WordPress übernehmen wir unter anderem WordPress-Core-, Plugin- und Theme-Updates, Security Hardening, Security- und Malware-Monitoring, automatische Backups sowie die technische WordPress-Verwaltung.
Für geschäftskritische WordPress- und WooCommerce-Umgebungen bieten Managed WordPress Pro und Private zusätzlich dedizierte Ressourcen, erweitertes Monitoring und technische Verwaltung.