Kritische Elementor Sicherheitslücke kann mit einem Klick ein neues WordPress-Administratorkonto erstellen

Die Elementor Sicherheitslücke CVE-2026-62062 kann es einem Angreifer ermöglichen, WordPress-REST-API-Aktionen mit den Rechten eines angemeldeten Benutzers auszuführen, nachdem dieser einen speziell präparierten Link geöffnet hat. Handelt es sich bei dem betroffenen Benutzer um einen WordPress-Administrator, kann die Schwachstelle auf einer Standardinstallation dazu verwendet werden, ein neues Administratorkonto unter Kontrolle des Angreifers anzulegen. Elementor 4.3.0 und 4.3.1 sind verwundbar. Das Sicherheitsproblem wurde in Elementor 4.3.2 behoben.

Die Elementor Sicherheitslücke ist besonders relevant, weil Elementor Website Builder auf mehr als 10 Millionen WordPress-Websites aktiv ist. Patchstack schätzt, dass die betroffenen Versionen mehr als zwei Millionen Websites erreicht haben könnten. Aufgrund der großen Installationsbasis und der möglichen Auswirkungen empfiehlt Vservs, Elementor 4.3.0 und 4.3.1 umgehend zu aktualisieren.

Was ist die Elementor Sicherheitslücke CVE-2026-62062?

CVE-2026-62062 ist eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) in Elementor Website Builder. Patchstack bewertet die Sicherheitslücke mit einem CVSS-Score von 8,8.

• CVE: CVE-2026-62062
• Software: Elementor Website Builder für WordPress
• Verwundbare Versionen: Elementor 4.3.0 und 4.3.1
• Abgesicherte Version: Elementor 4.3.2 oder neuer
• Typ: Cross-Site Request Forgery / Broken Access Control
• CVSS: 8,8
• Benutzerinteraktion: erforderlich
• Mögliche Auswirkung: REST-API-Aktionen mit den Rechten eines angemeldeten Benutzers, einschließlich der Erstellung eines Administratorkontos, wenn ein Administrator betroffen ist

Wie funktioniert CVE-2026-62062?

Die Schwachstelle befindet sich in der Editor-Events-Funktion von Elementor. WordPress schützt sensible, über Cookies authentifizierte REST-API-Anfragen normalerweise unter anderem durch eine Nonce-Prüfung. Dadurch soll verhindert werden, dass externe Websites oder Angreifer einen angemeldeten WordPress-Benutzer unbemerkt unerwünschte Aktionen ausführen lassen.

In Elementor 4.3.0 und 4.3.1 überprüft Code im Zusammenhang mit der Editor-Events-API die vollständige Request-URI auf die Zeichenfolge elementor/v1/events/. Wird diese Zeichenfolge gefunden, kann die normale WordPress-REST-Authentifizierungsprüfung umgangen werden.

Das Problem besteht darin, dass die Request-URI auch den Query-String enthält. Dieser Teil der URL kann vom Angreifer beeinflusst werden. Dadurch lässt sich die Elementor-Zeichenfolge in eine Anfrage an einen völlig anderen WordPress-REST-API-Endpunkt einfügen.

Die verwundbare Prüfung erfolgt, bevor WordPress die tatsächlich angesprochene REST-Route vollständig aufgelöst hat. Der Bypass ist deshalb nicht ausschließlich auf Elementor-eigene REST-Endpunkte beschränkt, sondern kann auch WordPress-Core-Routen und von anderen Plugins registrierte REST-API-Endpunkte betreffen.

Ein einziger präparierter Link kann ausreichen

Für eine erfolgreiche Ausnutzung ist die Interaktion eines bereits bei WordPress angemeldeten Benutzers erforderlich. CVE-2026-62062 ermöglicht es einem Angreifer daher nicht, ohne jegliche Benutzerinteraktion auf jeder verwundbaren Website direkt ein Administratorkonto anzulegen.

Die erforderliche Interaktion ist jedoch gering. Laut Patchstack genügt das Öffnen eines speziell präparierten Links. Die Angriffsmethode benötigt weder JavaScript noch ein bösartiges Formular oder eine separate Website unter Kontrolle des Angreifers.

Ein solcher Link könnte beispielsweise per E-Mail, Chat, Forum, Kommentar oder über einen anderen Kommunikationskanal an einen WordPress-Administrator gesendet werden.

Öffnet ein angemeldeter WordPress-Administrator den Link, sendet der Browser dessen bestehende Authentifizierungs-Cookies automatisch an die eigene WordPress-Website. Die manipulierte Anfrage kann dadurch einen REST-API-Endpunkt mit den Rechten des Administrators erreichen.

Wie kann ein Angreifer ein WordPress-Administratorkonto erstellen?

Patchstack demonstrierte die Auswirkungen anhand des standardmäßigen WordPress-REST-API-Endpunkts für die Benutzerverwaltung.

Auf einer normalen WordPress-Installation besitzt ein Administrator die Berechtigung, über die REST API neue Benutzer anzulegen. Durch die Elementor Sicherheitslücke kann ein Angreifer den Browser des angemeldeten Administrators dazu bringen, eine Anfrage auszuführen, die einen weiteren Benutzer mit der Administratorrolle erstellt.

Der Angreifer kann dabei Benutzername, E-Mail-Adresse und Passwort des neuen Kontos festlegen. Nach erfolgreicher Erstellung kann dieses Konto anschließend regulär zur Anmeldung bei WordPress mit Administratorrechten verwendet werden.

Das Erstellen eines Administratorkontos ist eine besonders deutliche Demonstration der Auswirkungen. Das Problem ist jedoch nicht darauf beschränkt. Grundsätzlich können auch andere REST-API-Aktionen betroffen sein, für die das Konto des Opfers über ausreichende Berechtigungen verfügt.

Die Sicherheitslücke kann die gesamte WordPress REST API betreffen

Ein wichtiger technischer Aspekt von CVE-2026-62062 ist, dass die Schwachstelle nicht ausschließlich auf Elementor-eigene API-Endpunkte beschränkt ist.

Da der verwundbare Authentifizierungsfilter ausgeführt wird, bevor WordPress die endgültige REST-Route bestimmt, kann der Bypass auch WordPress-Core-Endpunkte sowie REST-API-Routen anderer installierter Plugins betreffen.

Patchstack demonstrierte außerdem, dass geschützte WordPress-Website-Einstellungen über die REST API abgerufen werden konnten, wenn die Anfrage über die Sitzung eines ausreichend privilegierten Benutzers ausgeführt wurde.

Die tatsächlichen Auswirkungen hängen deshalb teilweise von den Berechtigungen des Benutzers ab, der den manipulierten Link öffnet, sowie von den auf der jeweiligen WordPress-Website verfügbaren REST-API-Funktionen.

Welche Elementor-Versionen sind verwundbar?

Die Sicherheitslücke ist spezifisch in zwei Elementor-Versionen vorhanden:

• Elementor 4.3.0 – verwundbar
• Elementor 4.3.1 – verwundbar
• Elementor 4.3.2 – behoben

Laut Patchstack wurde die verwundbare Editor-Events-Funktion mit Elementor 4.3.0 eingeführt. Ältere Elementor-Versionen sind deshalb von dieser spezifischen CVE nicht betroffen.

Ein Downgrade auf eine ältere Elementor-Version sollte jedoch nicht als normale Sicherheitsmaßnahme verwendet werden. Ältere Versionen können andere bekannte Sicherheitslücken enthalten und verfügen nicht über die aktuellen Sicherheits- und Stabilitätsverbesserungen.

Die empfohlene Lösung ist daher ein Update auf Elementor 4.3.2 oder eine neuere verfügbare Version.

Was wurde in Elementor 4.3.2 geändert?

Elementor veröffentlichte Version 4.3.2 am 24. September 2026. Im offiziellen Changelog auf WordPress.org wird für diese Version unter anderem eine verbesserte Durchsetzung von Sicherheitsprüfungen bei der Datenverarbeitung genannt.

Die Sicherheitskorrektur verändert, wie Elementor feststellt, ob eine Anfrage tatsächlich zur Editor-Events-API gehört.

Anstatt die vollständige und teilweise vom Angreifer kontrollierbare Request-URI zu untersuchen, verwendet der korrigierte Code die bereits von WordPress aufgelöste REST-Route. Zusätzlich wird geprüft, ob der erwartete Elementor-Namespace tatsächlich am Anfang dieser Route steht.

Dadurch kann ein Angreifer elementor/v1/events/ nicht mehr einfach in einem fremden Query-Parameter unterbringen, um die WordPress-REST-API-Authentifizierung zu umgehen.

Wie viele WordPress-Websites können betroffen sein?

Elementor Website Builder ist auf mehr als 10 Millionen WordPress-Websites aktiv und gehört damit zu den am weitesten verbreiteten WordPress-Plugins.

Patchstack berichtet, dass die verwundbaren Versionen Elementor 4.3.0 und 4.3.1 vor Veröffentlichung des Sicherheitsupdates mehr als zwei Millionen Websites erreicht haben könnten.

Nicht jede Elementor-Installation ist betroffen. Die Sicherheitslücke wurde erst mit Elementor 4.3.0 eingeführt und bereits in 4.3.2 behoben. Websites, auf denen 4.3.0 oder 4.3.1 niemals installiert waren, sind von CVE-2026-62062 nicht betroffen.

Wird die Elementor Sicherheitslücke aktiv ausgenutzt?

Zum Zeitpunkt dieser Veröffentlichung hat Vservs keine zuverlässige Bestätigung dafür gefunden, dass CVE-2026-62062 aktiv in freier Wildbahn ausgenutzt wird.

Patchstack weist darauf hin, dass Sicherheitslücken dieser Art für Angreifer interessant sein können und hat für seine Kunden eine entsprechende Mitigationsregel bereitgestellt. Die Erwartung einer möglichen zukünftigen Ausnutzung ist jedoch kein Beweis dafür, dass reale Angriffe bereits beobachtet wurden.

Vservs empfiehlt deshalb aufgrund der technischen Auswirkungen, der großen Installationsbasis und der vergleichsweise geringen erforderlichen Benutzerinteraktion ein schnelles Update. Wir bezeichnen CVE-2026-62062 derzeit jedoch nicht als aktiv ausgenutzte Sicherheitslücke.

Was sollten WordPress-Administratoren jetzt tun?

• Die aktuell installierte Elementor-Version sofort überprüfen.
• Elementor 4.3.0 oder 4.3.1 auf Elementor 4.3.2 oder neuer aktualisieren.
• Kein Downgrade auf eine alte Elementor-Version als normale Sicherheitslösung verwenden.
• Kontrollieren, ob automatische Plugin-Updates tatsächlich erfolgreich durchgeführt wurden.
• WordPress-Administratoren vor unerwarteten Links warnen, die auf die eigene WordPress-Website verweisen.
• Administratorkonten überprüfen, wenn auf der Website während des verwundbaren Zeitraums Elementor 4.3.0 oder 4.3.1 installiert war.
• Nach dem Update prüfen, ob die eingesetzten Elementor- und Elementor-Pro-Versionen weiterhin miteinander kompatibel sind.
• Bei produktiven Websites vor dem Update bei Bedarf eine aktuelle Sicherung erstellen.

Website auf eine mögliche Kompromittierung prüfen

Da eine erfolgreiche Ausnutzung die bestehende Sitzung und die Berechtigungen eines angemeldeten WordPress-Benutzers verwendet, sollten Administratoren sowohl die WordPress-Benutzerkonten als auch relevante Webserver-Logs kontrollieren.

Achten Sie insbesondere auf:

• unbekannte WordPress-Administratorkonten;
• Administratorkonten, die während des Zeitraums erstellt wurden, in dem Elementor 4.3.0 oder 4.3.1 installiert war;
• unerwartete Änderungen an E-Mail-Adressen, Passwörtern oder Rollen bestehender Benutzer;
• ungewöhnliche Anfragen an WordPress-REST-API-Endpunkte;
• Requests, die elementor/v1/events/ in unerwarteten Query-Parametern enthalten;
• unerwartete Requests an /wp-json/wp/v2/users oder vergleichbare REST-Routen zur Benutzerverwaltung;
• unerwartete Änderungen an WordPress-Einstellungen, Plugins oder Themes;
• unbekannte Plugins oder Must-Use-Plugins, die der Installation hinzugefügt wurden;
• unerwartete PHP-Dateien oder veränderte WordPress-Dateien, wenn ein nicht autorisiertes Administratorkonto entdeckt wurde.

Ein verdächtiger Request im Access-Log ist allein noch kein Beweis dafür, dass die Website erfolgreich kompromittiert wurde. Die Anfrage sollte mit der Erstellung von WordPress-Konten, Konfigurationsänderungen und anderen Aktivitäten im gleichen Zeitraum abgeglichen werden.

Was tun, wenn ein unbekanntes Administratorkonto gefunden wird?

Wird ein nicht autorisiertes Administratorkonto gefunden, reicht es nicht aus, dieses Konto lediglich zu löschen.

Ein Angreifer mit Administratorrechten kann bereits ein Plugin installiert, ein Theme verändert, ein Must-Use-Plugin hinzugefügt, geplante Aufgaben eingerichtet oder zusätzlichen PHP-Code auf der Website hinterlegt haben, um den Zugriff dauerhaft aufrechtzuerhalten.

Die Website sollte deshalb als potenziell kompromittiert behandelt werden. WordPress Core, Plugins, Themes, Must-Use-Plugins, Upload-Verzeichnisse, geplante Aufgaben und relevante Server-Logs sollten überprüft werden. Administratorpasswörter und andere relevante Zugangsdaten sollten nach der Integritätsprüfung ebenfalls geändert werden.

Warum ein schnelles Update wichtig ist

Die Sicherheitslücke wurde am 22. September 2026 an Patchstack gemeldet. Elementor veröffentlichte am 24. September Version 4.3.2 mit der Sicherheitskorrektur. Die technischen Details wurden anschließend am 25. September öffentlich bekannt gegeben.

Da die technische Funktionsweise inzwischen öffentlich dokumentiert ist, können Angreifer die Methode reproduzieren und beispielsweise in Phishing- oder Social-Engineering-Kampagnen integrieren.

Die Kombination aus einer sehr großen Installationsbasis, einem einfachen manipulierten Link und der Möglichkeit, Aktionen mit Administratorrechten auszuführen, ist ein klarer Grund, Elementor 4.3.0 oder 4.3.1 nicht unnötig weiter zu betreiben.

Managed WordPress und Managed VPS bei Vservs

Vservs überwacht Sicherheitsprobleme in WordPress Core, Plugins, Themes und den zugrunde liegenden Serverkomponenten aktiv. Mit Vservs Managed WordPress übernehmen wir unter anderem Sicherheitsupdates, Hardening, Monitoring, Malware-Kontrollen, Backups und die technische Verwaltung von WordPress.

Für Websites und Anwendungen, die eine eigene isolierte Serverumgebung benötigen, bietet Vservs außerdem Managed VPS. Dazu gehören unter anderem die technische Serververwaltung, relevante Betriebssystem- und Sicherheitsupdates, Monitoring und Server-Hardening.

Bei Unmanaged Hosting und Unmanaged VPS-Servern bleibt die Kontrolle und Installation von WordPress-, Plugin-, Theme- und Server-Sicherheitsupdates in der Verantwortung des Administrators.

Fazit

Die Elementor Sicherheitslücke CVE-2026-62062 ermöglicht es, den Authentifizierungsschutz der WordPress REST API zu umgehen, wenn ein angemeldeter Benutzer einen speziell präparierten Link öffnet.

Ist das Opfer ein WordPress-Administrator, kann die Schwachstelle auf einer Standardinstallation dazu verwendet werden, ein neues Administratorkonto unter Kontrolle des Angreifers anzulegen. Dieselbe zugrunde liegende Schwachstelle kann außerdem andere REST-API-Aktionen betreffen, für die das Konto des Opfers berechtigt ist.

Elementor 4.3.0 und 4.3.1 sind verwundbar. Elementor 4.3.2 enthält die Sicherheitskorrektur. Zum Zeitpunkt dieser Veröffentlichung gibt es keine zuverlässige Bestätigung einer aktiven Ausnutzung in freier Wildbahn.

Vservs empfiehlt daher, Elementor 4.3.0 und 4.3.1 umgehend auf Elementor 4.3.2 oder eine neuere verfügbare Version zu aktualisieren.

Quellen

• Patchstack – CVE-2026-62062: Cross-Site Request Forgery in Elementor Website Builder
• Patchstack – Cross-Site Request Forgery in Elementor Plugin Affecting 2 Million+ Sites, 25. September 2026
• WordPress.org – Elementor Website Builder, Changelog für Version 4.3.2