Kritische Avada-Sicherheitslücke CVE-2026-97670 ermöglicht unautorisierte WordPress-Aktionen
Eine kritische Avada Sicherheitslücke ermöglicht es Angreifern, unter bestimmten Voraussetzungen ohne Anmeldung unautorisierte WordPress-Aktionen auszuführen. Die Schwachstelle wird als CVE-2026-97670 geführt und betrifft Avada Builder bis einschließlich Version 3.16.1.
Die Sicherheitslücke hat einen CVSS-3.1-Score von 9,1 und wird als kritisch eingestuft. Eine erfolgreiche Ausnutzung kann unter anderem zur dauerhaften Löschung bestimmter WordPress-Inhalte und zur Beeinträchtigung der Website-Verfügbarkeit führen.
Der Hersteller hat die Schwachstelle mit Avada 7.16.2 und dem dazugehörigen Avada Builder 3.16.2 behoben. Das Sicherheitsupdate wurde am 30. September 2026 veröffentlicht.
Was ist die Avada Sicherheitslücke CVE-2026-97670?
Avada ist ein kommerzieller Website-Builder für WordPress, der unter anderem für Unternehmenswebsites, Online-Shops, Landingpages und individuell gestaltete WordPress-Projekte eingesetzt wird.
Die Plattform besteht aus dem Avada-Theme sowie zusätzlichen Komponenten wie Avada Builder und Avada Core.
CVE-2026-97670 betrifft die Verarbeitung von Formulareingaben und dynamischen Daten innerhalb von Avada Builder.
WordPress verwendet sogenannte Action Hooks, um interne Funktionen bei bestimmten Ereignissen auszuführen. Diese Hooks werden sowohl von WordPress Core als auch von Themes und Plugins eingesetzt.
Normalerweise dürfen sicherheitsrelevante Aktionen nur dann ausgeführt werden, wenn zuvor die erforderlichen Berechtigungen überprüft wurden.
Bei verwundbaren Avada-Builder-Versionen können jedoch bestimmte, vom Angreifer kontrollierte Formulardaten in die Verarbeitung interner WordPress-Action-Hooks gelangen, ohne dass eine ausreichende Autorisierungsprüfung erfolgt.
Dadurch können externe Angreifer unter den betroffenen Konfigurationsbedingungen Aktionen auslösen, die über ein öffentliches Formular normalerweise nicht zugänglich sein sollten.
Welche Avada-Versionen sind betroffen?
Nach Angaben von Wordfence betrifft CVE-2026-97670 folgende Versionen:
- Software: Avada / Avada Builder (ehemals Fusion Builder)
- CVE: CVE-2026-97670
- Betroffene Avada-Builder-Versionen: bis einschließlich 3.16.1
- Erste korrigierte Builder-Version: 3.16.2
- Zugehörige Avada-Theme-Version: 7.16.2
- Schweregrad: Kritisch
- CVSS 3.1: 9,1
- Authentifizierung erforderlich: Nein
- Benutzerinteraktion erforderlich: Nein
Avada 7.16.2 wurde am 30. September 2026 veröffentlicht und enthält insgesamt sechs Sicherheitskorrekturen sowie zusätzliche Maßnahmen zur Absicherung verschiedener Avada-Komponenten.
Wichtig: Das Avada-Theme und die dazugehörigen Plugins verwenden unterschiedliche Versionsnummern. Avada 7.16.2 wird mit Avada Builder 3.16.2 und Avada Core 5.16.2 verwendet.
Administratoren sollten deshalb kontrollieren, ob alle zugehörigen Komponenten über das offizielle Avada-Updatesystem aktualisiert wurden.
Wie funktioniert CVE-2026-97670?
Die Schwachstelle entsteht durch eine unzureichende Validierung dynamischer Daten, die über Avada Forms übermittelt werden.
Avada Forms unterstützt dynamische Platzhalter, mit denen übermittelte Formularfelder beispielsweise in Benachrichtigungs-E-Mails eingefügt werden können.
Unter bestimmten Bedingungen können vom Angreifer kontrollierte Formularwerte über diese dynamische Verarbeitung zur Ausführung interner WordPress-Action-Hooks führen.
Die verwundbare Implementierung unterscheidet dabei nicht ausreichend zwischen vertrauenswürdigen internen Werten und Daten, die von einem nicht authentifizierten Besucher übermittelt wurden.
Dadurch kann ein Angreifer speziell präparierte Formularwerte verwenden, um WordPress-Aktionen auszulösen.
Die tatsächlichen Auswirkungen hängen davon ab, welche Action Hooks innerhalb der WordPress-Installation verfügbar sind und welche zusätzlichen Plugins installiert wurden.
Welche Schäden kann ein Angreifer verursachen?
Wordfence hat nachgewiesen, dass CVE-2026-97670 zur unautorisierten Ausführung von WordPress-Aktionen verwendet werden kann.
Ein bestätigtes Beispiel betrifft die WordPress-Core-Aktion wp_scheduled_delete.
Diese Funktion wird normalerweise verwendet, um Inhalte, die sich bereits im WordPress-Papierkorb befinden, dauerhaft zu löschen.
Durch das unautorisierte Auslösen dieser Aktion konnten Sicherheitsforscher bereits gelöschte Beiträge, Seiten und Kommentare endgültig entfernen.
Je nach verfügbaren WordPress-Hooks und installierten Erweiterungen sind weitere Auswirkungen möglich:
- unautorisierte Änderungen an Website-Daten;
- dauerhafte Löschung bestimmter WordPress-Inhalte;
- Störungen der Website-Funktionalität;
- unerwartete Ausführung interner WordPress-Prozesse;
- zusätzliche unautorisierte Aktionen über Hooks von Drittanbieter-Plugins;
- Denial-of-Service-Situationen unter bestimmten Umständen.
Die Schwachstelle bedeutet jedoch nicht automatisch, dass ein Angreifer vollständige WordPress-Administratorrechte oder direkten Zugriff auf das Betriebssystem erhält.
Die tatsächliche Auswirkung hängt von der jeweiligen Website-Konfiguration und den verfügbaren Action Hooks ab.
Unter welchen Voraussetzungen ist die Avada Sicherheitslücke ausnutzbar?
Nicht jede WordPress-Website mit einer verwundbaren Avada-Version ist automatisch über denselben Angriffsweg ausnutzbar.
Nach Angaben von Wordfence müssen insbesondere folgende Voraussetzungen erfüllt sein:
- Die Website verwendet eine verwundbare Avada-Builder-Version.
- Ein veröffentlichtes Avada-Formular ist ohne Anmeldung erreichbar.
- Das Formular verwendet AJAX zur Übermittlung.
- Die Benachrichtigung verarbeitet dynamische Platzhalter aus den übermittelten Formularfeldern.
- Die E-Mail-Vorlage enthält
[all_fields]oder einen entsprechenden[field]-Platzhalter.
Bestimmte standardmäßige Avada-Formularkonfigurationen können diese Voraussetzungen bereits erfüllen.
Websites ohne die betroffene Formularfunktionalität haben möglicherweise eine kleinere Angriffsfläche. Dennoch sollten alle Installationen mit verwundbaren Avada-Komponenten aktualisiert werden.
Wird CVE-2026-97670 aktiv ausgenutzt?
Zum Zeitpunkt der Veröffentlichung am 12. Oktober 2026 gibt es keine zuverlässige öffentliche Bestätigung, dass CVE-2026-97670 aktiv in freier Wildbahn ausgenutzt wird.
Sicherheitsforscher haben die technische Ausnutzbarkeit und mögliche Auswirkungen der Schwachstelle nachgewiesen.
Ein technisch erfolgreicher Sicherheitstest bedeutet jedoch nicht automatisch, dass bereits Angriffe auf produktive WordPress-Websites stattfinden.
Da die Schwachstelle öffentlich dokumentiert ist und eine Sicherheitsaktualisierung zur Verfügung steht, empfiehlt Vservs, betroffene Installationen ohne unnötige Verzögerung zu aktualisieren.
Avada-Websites auf verdächtige Aktivitäten prüfen
Administratoren von Websites, auf denen zuvor eine verwundbare Avada-Version eingesetzt wurde, sollten verfügbare Anwendungs- und Serverlogs auf ungewöhnliche Aktivitäten überprüfen.
Achten Sie insbesondere auf:
- ungewöhnliche Requests an öffentlich erreichbare Avada-Formulare;
- auffällige AJAX-Formularübermittlungen;
- unerwartete Änderungen an Beiträgen und Seiten;
- nicht erklärbare endgültige Löschungen von Inhalten aus dem WordPress-Papierkorb;
- unerwartete Ausführung geplanter WordPress-Aufgaben;
- ungewöhnliche Aktivitäten in WordPress-Auditlogs;
- unerwartete Änderungen an Plugin-Einstellungen;
- nicht erklärbare Störungen der WordPress-Funktionalität.
Wenn detaillierte HTTP-Request-Logs verfügbar sind, können zusätzlich verdächtige Formularübermittlungen mit dynamischen Platzhaltern untersucht werden.
Diese Prüfungen sind allgemeine Untersuchungsmaßnahmen. Derzeit gibt es keine universell zuverlässigen Indicators of Compromise, mit denen jede erfolgreiche Ausnutzung von CVE-2026-97670 eindeutig erkannt werden kann.
Ein verdächtiger Request allein ist kein Beweis für eine erfolgreiche Ausnutzung.
Avada sicher aktualisieren
Vservs empfiehlt folgende Maßnahmen:
- Überprüfen Sie die installierte Avada-Theme-Version.
- Kontrollieren Sie die Versionen von Avada Builder und Avada Core.
- Erstellen beziehungsweise überprüfen Sie ein aktuelles Backup der Website und Datenbank.
- Aktualisieren Sie das Avada-Theme auf Version 7.16.2 oder neuer.
- Installieren Sie die dazugehörige korrigierte Version von Avada Builder 3.16.2 oder neuer.
- Aktualisieren Sie auch Avada Core und weitere zugehörige Komponenten.
- Überprüfen Sie, ob die Sicherheitsupdates erfolgreich installiert wurden.
- Testen Sie anschließend die wichtigsten Website-Funktionen.
- Kontrollieren Sie öffentlich erreichbare Avada-Formulare und deren Benachrichtigungseinstellungen.
- Untersuchen Sie verfügbare Logs, wenn die Website zuvor mit einer verwundbaren Version öffentlich erreichbar war.
Verwenden Sie für die Aktualisierung das offizielle Avada-Updatesystem, damit Theme und zugehörige Plugins in kompatiblen Versionen installiert werden.
Temporäre Maßnahmen, wenn ein Update nicht sofort möglich ist
Wenn eine Aktualisierung vorübergehend nicht möglich ist, kann das Deaktivieren betroffener öffentlich erreichbarer Avada-Formulare die Angriffsfläche reduzieren.
Überprüfen Sie insbesondere Formulare, die AJAX-Übermittlung und dynamische Platzhalter in Benachrichtigungen verwenden.
Eine Web Application Firewall kann zusätzlichen Schutz bieten, sofern geeignete Regeln verfügbar sind.
Eine solche Maßnahme ersetzt jedoch nicht die Installation des offiziellen Sicherheitsupdates.
Was tun bei einer möglichen Kompromittierung?
Wenn Hinweise auf unautorisierte WordPress-Aktionen vorliegen, reicht eine Aktualisierung von Avada allein möglicherweise nicht aus.
Administratoren sollten untersuchen, ob Website-Inhalte, Konfigurationen oder andere Anwendungsdaten verändert beziehungsweise gelöscht wurden.
Abhängig von den Untersuchungsergebnissen sollten unter anderem folgende Bereiche kontrolliert werden:
- WordPress-Core-Dateien;
- installierte Plugins und Themes;
- WordPress-Administrator-Konten;
- Änderungen an Website-Inhalten;
- geplante WordPress-Aufgaben;
- Anwendungs- und Datenbanklogs;
- verfügbare Backups und deren Integrität.
Wurden Inhalte endgültig gelöscht, kann eine Wiederherstellung aus einem überprüften Backup erforderlich sein.
Wenn Hinweise darauf bestehen, dass Zugangsdaten oder sensible Anwendungsinformationen offengelegt wurden, sollten die betroffenen Zugangsdaten ebenfalls geändert werden.
Managed WordPress Hosting bei Vservs
Die Avada Sicherheitslücke zeigt, warum professionelles WordPress-Management mehr umfasst als die regelmäßige Aktualisierung von WordPress Core.
Auch kommerzielle Themes, Page Builder, Formular-Plugins und andere Erweiterungen können erhebliche Sicherheitsrisiken verursachen.
Mit Vservs Managed WordPress übernehmen wir unter anderem WordPress-Core-, Plugin- und Theme-Updates, Security Hardening, Monitoring, Backups, SSL und das technische WordPress-Management.
Für geschäftskritische WordPress-Websites und WooCommerce-Shops bietet Vservs zusätzlich Managed WordPress Pro und Managed WordPress Private mit eigenen VPS-Ressourcen und erweitertem technischen Management.
Unser Ziel ist eine sichere, stabile und professionell betreute WordPress-Umgebung.
Zusammenfassung
- Software: Avada / Avada Builder
- CVE: CVE-2026-97670
- Schwachstelle: Authorization Bypass / unautorisierte Ausführung von WordPress-Aktionen
- Schweregrad: Kritisch
- CVSS 3.1: 9,1
- Betroffene Avada-Builder-Versionen: bis einschließlich 3.16.1
- Erste korrigierte Builder-Version: 3.16.2
- Zugehörige korrigierte Theme-Version: Avada 7.16.2
- Authentifizierung erforderlich: Nein
- Benutzerinteraktion erforderlich: Nein
- Angriffsvoraussetzungen: bestimmte öffentlich erreichbare Avada-Forms-Konfiguration
- Nachgewiesene technische Auswirkungen: unautorisierte WordPress-Aktionen, einschließlich dauerhafter Löschung von Inhalten aus dem Papierkorb
- Aktive Ausnutzung: zum Zeitpunkt der Veröffentlichung nicht bestätigt
- Empfehlung: sofort aktualisieren und zuvor exponierte Websites auf verdächtige Aktivitäten prüfen