Sicherheitslücke in Click to Chat gefährdet 600.000 WordPress-Websites
Click to Chat CVE-2026-92097 ist eine Sicherheitslücke im beliebten WordPress-Plugin Click to Chat – HoliThemes. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, unter bestimmten Voraussetzungen registrierte WordPress-Shortcodes ohne Berechtigung auszuführen. Betroffen sind sämtliche Plugin-Versionen bis einschließlich 4.44. Das Plugin wird auf mehr als 600.000 WordPress-Websites eingesetzt. Mit Version 4.45 hat der Entwickler die Sicherheitslücke geschlossen.
Die Schwachstelle wurde am 13. Oktober 2026 öffentlich bekannt gegeben. Abhängig von der Konfiguration der betroffenen Website und den verfügbaren Shortcodes können Angreifer möglicherweise unerwünschte Anwendungsfunktionen ausführen oder auf sensible Informationen zugreifen.
Was ist Click to Chat CVE-2026-92097?
Click to Chat ist ein weitverbreitetes WordPress-Plugin des Entwicklers HoliThemes. Es ermöglicht Websitebesuchern, Unternehmen direkt über WhatsApp zu kontaktieren.
Das Plugin bietet verschiedene Funktionen, darunter konfigurierbare WhatsApp-Schaltflächen, Begrüßungsnachrichten und vordefinierte Antworten.
Besonders häufig wird Click to Chat auf Unternehmenswebsites, in Onlineshops und bei Dienstleistern eingesetzt, die ihren Kunden eine unkomplizierte Kontaktaufnahme über WhatsApp anbieten möchten.
Sicherheitsforscher haben festgestellt, dass bestimmte Begrüßungsvorlagen vom Benutzer beeinflussbare URL-Informationen nicht ausreichend überprüfen, bevor diese durch WordPress verarbeitet werden.
Dadurch können unter bestimmten Voraussetzungen unerwünschte Shortcodes ausgeführt werden.
Die Schwachstelle wird unter der Kennung CVE-2026-92097 geführt.
Wie funktioniert die Sicherheitslücke?
Die Ursache liegt in der Verarbeitung des Platzhalters {url}, der innerhalb bestimmter Begrüßungsnachrichten verwendet werden kann.
Auf Archivseiten verarbeitet das Plugin Informationen aus der angeforderten URL und fügt diese in den Inhalt der Begrüßungsnachricht ein.
Die betroffene Funktion verwendet dabei die WordPress-Funktion sanitize_text_field(), um die übermittelten Daten zu bereinigen.
Diese Funktion entfernt jedoch nicht sämtliche Zeichen, die WordPress als Bestandteil eines Shortcodes interpretieren kann.
Anschließend werden die verarbeiteten Inhalte an die WordPress-Funktion do_shortcode() übergeben.
Diese Funktion führt registrierte WordPress-Shortcodes aus.
Ein Angreifer kann deshalb unter bestimmten Voraussetzungen speziell vorbereitete URL-Inhalte übermitteln, die unerwünschte Shortcode-Anweisungen enthalten.
Die Schwachstelle betrifft insbesondere die Begrüßungsvorlagen Greetings-1 und Greetings-2, sofern der betroffene URL-Platzhalter verwendet wird.
Welche Sicherheitsrisiken entstehen?
Die unmittelbare Auswirkung von Click to Chat CVE-2026-92097 besteht in der nicht autorisierten Ausführung registrierter WordPress-Shortcodes.
Die tatsächlichen Folgen hängen davon ab, welche Shortcodes auf der betroffenen Website verfügbar sind.
WordPress-Plugins und Themes können eigene Shortcodes registrieren, um Inhalte darzustellen, Formulare zu verarbeiten oder bestimmte Anwendungsfunktionen auszuführen.
Wenn eine zusätzliche Erweiterung einen Shortcode mit unzureichenden Berechtigungsprüfungen bereitstellt, könnte ein Angreifer diese Funktion missbrauchen.
Mögliche Folgen sind:
- Unbefugte Ausführung registrierter WordPress-Shortcodes.
- Offenlegung sensibler Informationen durch unsichere Shortcode-Funktionen.
- Unerwartete Ausführung von Funktionen anderer installierter Plugins.
- Manipulation bestimmter Website-Funktionen.
- Weitere Sicherheitsprobleme, wenn zusätzliche verwundbare Komponenten vorhanden sind.
Wichtig: Die Ausführung beliebiger Shortcodes bedeutet nicht automatisch, dass ein Angreifer beliebigen PHP-Code auf dem Server ausführen kann.
Die tatsächliche Gefährdung hängt von der jeweiligen WordPress-Konfiguration und den verfügbaren Shortcode-Funktionen ab.
Welche Click-to-Chat-Versionen sind betroffen?
Für CVE-2026-92097 gelten folgende technische Angaben:
- Plugin: Click to Chat – HoliThemes.
- CVE-Kennung: CVE-2026-92097.
- Betroffene Versionen: 4.44 und älter.
- Erste sichere Version: 4.45.
- Wordfence CVSS: 9.1 – kritisch.
- Patchstack CVSS: 5.3 – mittel.
- Authentifizierung erforderlich: Nein.
- Öffentliche Bekanntgabe: 13. Oktober 2026.
Die unterschiedlichen CVSS-Bewertungen ergeben sich aus verschiedenen Einschätzungen der möglichen Auswirkungen einer nicht autorisierten Shortcode-Ausführung.
Beide Sicherheitsdatenbanken bestätigen, dass Version 4.45 die Schwachstelle behebt.
Sind alle 600.000 WordPress-Websites gefährdet?
Nein. Die Zahl von mehr als 600.000 bezeichnet die gesamte Anzahl aktiver Click-to-Chat-Installationen.
Sie entspricht nicht der Anzahl nachweislich verwundbarer Websites.
Für eine erfolgreiche Ausnutzung müssen bestimmte Voraussetzungen erfüllt sein.
Dazu gehören eine betroffene Plugin-Version sowie die entsprechende Verarbeitung des URL-Platzhalters innerhalb der anfälligen Begrüßungsvorlagen.
Websites, die diese Funktion nicht verwenden, bieten möglicherweise keinen entsprechenden Angriffsweg.
Dennoch sollten Administratoren nicht ausschließlich auf die aktuelle Konfiguration als Schutzmaßnahme vertrauen.
Die Installation von Version 4.45 oder einer neueren Version bleibt die empfohlene Lösung.
Wird CVE-2026-92097 bereits aktiv ausgenutzt?
Mit Stand vom 14. Oktober 2026 liegen keine eindeutig bestätigten Informationen darüber vor, dass CVE-2026-92097 bereits aktiv für Angriffe auf WordPress-Websites ausgenutzt wird.
Die Schwachstelle ist jedoch öffentlich dokumentiert. Technische Informationen über die betroffenen Funktionen sind verfügbar.
Aufgrund der großen Anzahl aktiver Installationen ist die Sicherheitslücke für Websitebetreiber und Hostinganbieter relevant.
Vservs empfiehlt daher, betroffene Installationen zeitnah zu aktualisieren.
Wie lässt sich überprüfen, ob Click to Chat verwundbar ist?
Websiteadministratoren können überprüfen, ob ihre WordPress-Installation von Click to Chat CVE-2026-92097 betroffen ist.
Melden Sie sich dazu im WordPress-Dashboard an und öffnen Sie den Bereich Plugins → Installierte Plugins.
Suchen Sie nach Click to Chat – HoliThemes und überprüfen Sie die installierte Versionsnummer.
Wenn Version 4.44 oder eine ältere Version installiert ist, sollte das Plugin auf mindestens Version 4.45 aktualisiert werden.
Administratoren mit SSH-Zugriff können die Versionsnummer alternativ über WP-CLI überprüfen.
Führen Sie im WordPress-Installationsverzeichnis folgenden Befehl aus:
wp plugin get click-to-chat-for-whatsapp --field=versionDer Befehl zeigt die aktuell installierte Plugin-Version an.
Um das Plugin über WP-CLI zu aktualisieren, verwenden Sie:
wp plugin update click-to-chat-for-whatsappÜberprüfen Sie anschließend erneut die Versionsnummer.
Die installierte Version sollte mindestens 4.45 betragen.
Welche Maßnahmen sollten WordPress-Administratoren ergreifen?
Vservs empfiehlt folgende Sicherheitsmaßnahmen:
- Überprüfen Sie, ob Click to Chat – HoliThemes installiert ist.
- Kontrollieren Sie die aktuelle Plugin-Version.
- Aktualisieren Sie betroffene Installationen auf Version 4.45 oder neuer.
- Überprüfen Sie die Konfiguration der Begrüßungsvorlagen Greetings-1 und Greetings-2.
- Kontrollieren Sie, ob der Platzhalter {url} innerhalb der Begrüßungsnachrichten verwendet wird.
- Testen Sie nach dem Update sämtliche WhatsApp-Schaltflächen und Begrüßungsfenster.
- Überprüfen Sie auch andere installierte WordPress-Plugins und Themes auf bekannte Schwachstellen.
- Kontrollieren Sie Serverprotokolle auf ungewöhnliche Aktivitäten.
Falls ein sofortiges Update nicht möglich ist, können Administratoren die betroffenen Begrüßungsfunktionen vorübergehend deaktivieren oder den Platzhalter {url} aus den entsprechenden Nachrichten entfernen.
Diese Maßnahmen können das Risiko reduzieren, ersetzen jedoch kein Sicherheitsupdate.
WordPress auf mögliche Kompromittierung überprüfen
Administratoren sollten bei zuvor verwundbaren Installationen überprüfen, ob ungewöhnliche Aktivitäten stattgefunden haben.
Da die Schwachstelle über benutzerkontrollierte URL-Daten und die Verarbeitung von Shortcodes ausgenutzt werden kann, sind insbesondere Webserver-Protokolle relevant.
Empfohlene Kontrollen:
- Untersuchen Sie ungewöhnliche Anfragen an WordPress-Archivseiten.
- Überprüfen Sie URL-Pfade und Parameter auf unerwartete Shortcode-Syntax.
- Achten Sie auf auffällige URL-Kodierungen und ungewöhnliche Zeichenfolgen.
- Kontrollieren Sie WordPress-Benutzerkonten auf unbekannte Administratoren.
- Überprüfen Sie unerwartete Änderungen an Plugin-Einstellungen.
- Untersuchen Sie Website-Dateien auf nicht autorisierte Änderungen.
- Kontrollieren Sie Serverprotokolle auf ungewöhnliche Fehler oder Prozesse.
Diese Hinweise sind allgemeine Anhaltspunkte für mögliche Sicherheitsprobleme und keine bestätigten spezifischen Indikatoren für eine erfolgreiche Ausnutzung von CVE-2026-92097.
Verdächtige URL-Parameter allein beweisen noch keinen erfolgreichen Angriff.
Wenn eine Kompromittierung vermutet wird, sollten relevante Protokolle und Beweismittel vor umfangreichen Bereinigungsmaßnahmen gesichert werden.
Warum regelmäßige WordPress-Updates wichtig sind
Viele WordPress-Websites verwenden zahlreiche Erweiterungen für Kontaktformulare, Onlineshops, Analysefunktionen, Marketing und Kundenkommunikation.
Auch Plugins mit vergleichsweise einfachen Funktionen können Sicherheitsrisiken verursachen, wenn Eingabedaten nicht ausreichend überprüft werden.
Die Click-to-Chat-Schwachstelle zeigt, wie eine unzureichende Eingabeprüfung mit Funktionen anderer WordPress-Komponenten zusammenwirken kann.
Regelmäßige Updates von WordPress, Plugins und Themes sind deshalb ein wesentlicher Bestandteil einer sicheren Website.
Darüber hinaus sollten nicht mehr benötigte Erweiterungen entfernt, Benutzerberechtigungen überprüft und die zugrunde liegende Hostingumgebung regelmäßig aktualisiert werden.
Professionelles WordPress-Hosting bei Vservs
Vservs bietet professionell verwaltete Hostinginfrastruktur für Unternehmen, Agenturen und Organisationen, die WordPress-Websites betreiben.
Unsere Managed VPS Server bieten eine professionell betreute Serverumgebung mit Betriebssystemupdates, Sicherheitswartung, Monitoring und Infrastrukturverwaltung.
Auch die Sicherheit der WordPress-Anwendung selbst bleibt entscheidend.
WordPress-Core, Plugins und Themes müssen regelmäßig aktualisiert werden, um bekannte Sicherheitslücken zu schließen.
Eine gepflegte Hostinginfrastruktur in Kombination mit aktuellen WordPress-Komponenten trägt dazu bei, Sicherheitsrisiken zu reduzieren und einen zuverlässigen Websitebetrieb zu gewährleisten.
Fazit
Click to Chat CVE-2026-92097 ist eine Sicherheitslücke, die sämtliche Plugin-Versionen bis einschließlich 4.44 betrifft.
Unter bestimmten Voraussetzungen können nicht authentifizierte Angreifer registrierte WordPress-Shortcodes über die anfällige Begrüßungsfunktion ausführen.
Mit mehr als 600.000 aktiven Installationen gehört Click to Chat zu den weitverbreiteten WordPress-Erweiterungen.
Obwohl bislang keine aktive Ausnutzung dieser spezifischen Schwachstelle bestätigt wurde, sollten Administratoren auf Version 4.45 oder neuer aktualisieren und die Konfiguration ihrer Begrüßungsfenster überprüfen.