Kritische Botiga Pro Sicherheitslücke kann WordPress-Onlineshops ohne Login übernehmen

Eine kritische Botiga Pro Sicherheitslücke kann es einem nicht authentifizierten Angreifer ermöglichen, wichtige WordPress-Einstellungen zu verändern und unter bestimmten Umständen die vollständige Kontrolle über eine Website zu erlangen. Die Schwachstelle wird als CVE-2026-86591 geführt, hat einen CVSS-Score von 9.8 und betrifft Botiga Pro Versionen vor 1.6.5.

Das Sicherheitsproblem betrifft das kommerzielle WordPress-Plugin Botiga Pro. Für die Ausnutzung ist kein WordPress-Benutzerkonto erforderlich. Websites und WooCommerce-Onlineshops, die Botiga Pro verwenden, sollten deshalb die installierte Version umgehend überprüfen und auf die aktuellste verfügbare Version aktualisieren.

Was ist die Botiga Pro Sicherheitslücke CVE-2026-86591?

CVE-2026-86591 ist eine kritische Missing-Authorization-Schwachstelle in einer REST-API-Route von Botiga Pro.

Die betroffene REST-Route führt keine ausreichende Autorisierungsprüfung durch, bevor Anfragen verarbeitet werden. Dadurch kann ein externer Angreifer auf verwundbare Funktionen zugreifen, ohne sich zuvor bei WordPress anmelden zu müssen.

Über die betroffene Funktion können beliebige WordPress-Options mit vom Angreifer kontrollierten Werten verändert werden. Dies ist besonders kritisch, da WordPress zahlreiche wichtige Website-, Registrierungs- und sicherheitsrelevante Konfigurationswerte in der Options-Datenbank speichert.

Botiga Pro Sicherheitslücke kann zur vollständigen Website-Übernahme führen

Durch die Manipulation sicherheitsrelevanter WordPress-Options kann ein Angreifer unter bestimmten Umständen seine Rechte erweitern und schließlich administrative Kontrolle über die betroffene WordPress-Website erlangen.

Die verwundbare REST-Route kann außerdem für weitere schädliche Aktionen missbraucht werden. Laut den veröffentlichten Informationen zur Sicherheitslücke kann ein nicht authentifizierter Angreifer:

• beliebige WordPress-Options mit kontrollierten Werten verändern;
• beliebige Web-Skripte dauerhaft speichern, die anschließend im Frontend der Website ausgeführt werden;
• beliebige WordPress-Beiträge in den Papierkorb verschieben;
• über manipulierte WordPress-Einstellungen möglicherweise seine Berechtigungen erweitern;
• unter bestimmten Umständen die vollständige Kontrolle über die WordPress-Website erlangen.

Da diese Aktionen ohne ein authentifiziertes WordPress-Benutzerkonto möglich sind, wird CVE-2026-86591 als kritische Sicherheitslücke eingestuft.

Für den Angriff ist kein WordPress-Benutzerkonto erforderlich

Für die Ausnutzung der Botiga Pro Sicherheitslücke ist weder ein WordPress-Benutzerkonto noch eine bereits vorhandene Benutzerberechtigung erforderlich.

Die betroffene REST-API-Funktion ist über das Internet erreichbar und verfügt nicht über die erforderliche Autorisierungskontrolle. Ein Angreifer muss daher nicht zunächst ein Author-, Editor- oder Administrator-Konto kompromittieren, um die verwundbare Funktion zu erreichen.

Für die Ausnutzung der betroffenen REST-Route ist außerdem keine Interaktion eines WordPress-Administrators erforderlich. Dies erhöht das potenzielle Risiko für öffentlich erreichbare WordPress-Websites und WooCommerce-Onlineshops mit einer verwundbaren Botiga Pro Version.

Betroffene und sichere Botiga Pro Versionen

Von CVE-2026-86591 betroffen sind:

Botiga Pro Versionen vor 1.6.5.

Der betroffene Versionsbereich endet mit:

Botiga Pro 1.6.5 und neuer.

Inzwischen sind neuere Botiga Pro Versionen verfügbar. Vservs empfiehlt deshalb, direkt auf die aktuellste verfügbare und unterstützte Version zu aktualisieren und nicht lediglich auf der ersten Version außerhalb des verwundbaren Bereichs zu verbleiben.

CVE-2026-86591 betrifft speziell das kommerzielle Botiga Pro Plugin. Die alleinige Verwendung des kostenlosen Botiga Themes bedeutet daher nicht automatisch, dass eine WordPress-Website von dieser Sicherheitslücke betroffen ist.

Wird die Botiga Pro Sicherheitslücke aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung haben wir keine zuverlässige Bestätigung gefunden, dass CVE-2026-86591 aktiv in freier Wildbahn ausgenutzt wird.

Das Fehlen bestätigter aktiver Angriffe bedeutet jedoch nicht, dass ein Update aufgeschoben werden sollte. Die Sicherheitslücke erfordert weder eine Authentifizierung noch eine Benutzerinteraktion und ermöglicht den Zugriff auf sicherheitsrelevante WordPress-Konfigurationen.

Technische Informationen über die Schwachstelle sind öffentlich verfügbar. Vservs empfiehlt daher, betroffene Installationen umgehend zu aktualisieren.

Was sollten Botiga Pro Administratoren jetzt tun?

• Prüfen Sie, ob das kommerzielle Botiga Pro Plugin installiert ist.
• Kontrollieren Sie die aktuell installierte Botiga Pro Version.
• Aktualisieren Sie Botiga Pro umgehend auf die neueste verfügbare Version.
• Verwenden Sie keine Botiga Pro Version älter als 1.6.5.
• Entfernen Sie Botiga Pro vollständig, wenn das Plugin nicht mehr benötigt wird.
• Kontrollieren Sie wichtige WordPress-Options auf unerwartete Änderungen.
• Prüfen Sie die Website auf unbekannte Administratorkonten.
• Kontrollieren Sie Frontend-Seiten auf unerwartete oder eingeschleuste Skripte.

Website auf eine mögliche Kompromittierung prüfen

Da die Botiga Pro Sicherheitslücke die Veränderung beliebiger WordPress-Options ermöglicht, sollten Websites, die mit einer verwundbaren Version öffentlich erreichbar waren, bei verdächtigen Aktivitäten genauer untersucht werden.

Administratoren sollten insbesondere folgende Punkte kontrollieren:

• unbekannte WordPress-Administratoren und andere Benutzerkonten;
• unerwartete Änderungen an Benutzerregistrierung und Standard-Benutzerrollen;
• unerwartete Skripte oder Code, die auf Frontend-Seiten geladen werden;
• Beiträge oder Seiten, die unerwartet in den Papierkorb verschoben wurden;
• unerwartete Änderungen an sicherheitsrelevanten WordPress-Options;
• kürzlich installierte oder veränderte Plugins und Themes;
• Webserver-Protokolle auf verdächtige Anfragen an WordPress REST-API-Endpunkte.

Wenn Hinweise darauf bestehen, dass ein Angreifer administrative Kontrolle erlangt hat, sollte die Untersuchung auf die WordPress-Datenbank, das Dateisystem, Administratorkonten, API-Zugangsdaten, geplante Tasks und weitere Authentifizierungsdaten ausgeweitet werden.

Ein Update macht frühere Manipulationen nicht rückgängig

Die Installation einer abgesicherten Botiga Pro Version verhindert eine weitere Ausnutzung von CVE-2026-86591, macht jedoch Änderungen, die ein Angreifer bereits vor der Installation des Updates vorgenommen hat, nicht automatisch rückgängig.

Ein Angreifer könnte beispielsweise bereits WordPress-Options verändert, einen privilegierten Zugang ermöglicht, persistentes JavaScript eingeschleust oder Inhalte entfernt haben.

Werden unbekannte Benutzer, manipulierte WordPress-Options, eingeschleuste Skripte oder andere Hinweise auf eine Kompromittierung gefunden, sollte die Website als potenziell kompromittiert behandelt und entsprechend untersucht werden.

Managed WordPress Hosting bei Vservs

Die Sicherheit einer WordPress-Website hängt von der Wartung der gesamten Anwendung ab. Dazu gehören WordPress Core, Plugins und Themes. Eine einzelne kritische Sicherheitslücke in einem kommerziellen Plugin kann ausreichen, um eine ansonsten vollständig aktualisierte WordPress-Installation zu gefährden.

Mit Managed WordPress Hosting von Vservs übernehmen wir die technische Verwaltung von WordPress Core, Plugins und Themes und kontrollieren verfügbare Updates sowie bekannte Sicherheitsrisiken. Je nach Managed-WordPress-Lösung gehören außerdem Security Hardening, Monitoring, Malware-Prüfungen, Backups und die technische WordPress-Betreuung zum Leistungsumfang.

Für Kunden, die zusätzlich eine eigene isolierte Serverumgebung benötigen, bietet Vservs Managed VPS Hosting mit technischer Verwaltung der zugrunde liegenden Serverumgebung an.

Bei einer nicht verwalteten WordPress-Installation bleibt die Kontrolle und rechtzeitige Installation von WordPress-Core-, Plugin- und Theme-Updates in der Verantwortung des Website-Betreibers.

Quellen

• WPScan – CVE-2026-86591 / Botiga Pro Missing Authorization
• CVE Program – CVE-2026-86591
• aThemes – offizieller Botiga und Botiga Pro Changelog