ACPT Premium-Sicherheitslücke CVE-2026-105701 ermöglicht Remote Code Execution

Die ACPT Premium Sicherheitslücke CVE-2026-105701 ermöglicht es einem authentifizierten WordPress-Benutzer mit lediglich Subscriber-Rechten, beliebigen Code auf dem Webserver auszuführen. Die Schwachstelle wird mit einem CVSS-Score von 8,8 als High eingestuft und kann zu Remote Code Execution führen.

Die ACPT Premium Sicherheitslücke betrifft alle Versionen bis einschließlich 2.0.66. Die Sicherheitskorrektur ist in Version 2.0.67 enthalten. Vservs empfiehlt, ACPT Premium umgehend auf die aktuellste verfügbare stabile Version zu aktualisieren.

Was ist die ACPT Premium Sicherheitslücke CVE-2026-105701?

CVE-2026-105701 ist eine Remote-Code-Execution-Schwachstelle in ACPT Premium, einem WordPress-Plugin zur Verwaltung unter anderem von Custom Post Types, Meta Fields, Formularen und dynamischen Inhalten.

Die Schwachstelle entsteht durch eine Kombination aus unzureichender Zugriffskontrolle und der unsicheren Verarbeitung von Twig-Templates.

Nach den veröffentlichten technischen Informationen bestehen dabei zwei wesentliche Sicherheitsprobleme:

• eine fehlende Capability-Prüfung bei einem REST-API-Endpunkt zum Erstellen von ACPT-Formularen;
• die Verarbeitung von E-Mail-Templates in einer nicht ausreichend eingeschränkten Twig-Umgebung.

Dadurch kann ein authentifizierter Benutzer mit eingeschränkten WordPress-Rechten ein speziell präpariertes Formular erstellen und schädliche Twig-Ausdrücke in dessen Konfiguration einfügen.

Wird das betreffende Formular anschließend verarbeitet, können diese Ausdrücke serverseitig ausgewertet werden. Dies kann zur Ausführung von beliebigem Code führen.

Welche ACPT Premium-Versionen sind betroffen?

• ACPT Premium 2.0.66 und älter – verwundbar
• ACPT Premium 2.0.67 und neuer – Sicherheitskorrektur enthalten

Administratoren sollten nach Möglichkeit nicht nur auf die erste korrigierte Version 2.0.67 aktualisieren, sondern die aktuellste stabile ACPT Premium-Version installieren.

Subscriber-Rechte reichen für einen Angriff aus

CVE-2026-105701 kann nicht vollständig ohne Authentifizierung ausgenutzt werden. Ein Angreifer benötigt ein gültiges WordPress-Benutzerkonto mit mindestens Subscriber-Rechten.

Das reduziert die Angriffsfläche gegenüber einer vollständig unauthentifizierten Remote-Code-Execution-Schwachstelle, macht das Problem jedoch keineswegs harmlos.

Subscriber ist die WordPress-Standardrolle mit den geringsten Berechtigungen. Auf Websites mit öffentlicher Benutzerregistrierung, Membership-Funktionen oder automatischer Kontoerstellung kann es für einen Angreifer vergleichsweise einfach sein, ein solches Konto zu erhalten.

Auch ein bereits kompromittiertes Benutzerkonto kann als Ausgangspunkt für einen Angriff dienen.

Wie funktioniert CVE-2026-105701?

Die Schwachstelle betrifft Funktionen zum Erstellen und Verarbeiten von ACPT-Formularen.

Aufgrund einer unzureichenden Berechtigungsprüfung kann ein Benutzer mit eingeschränkten Rechten Funktionen erreichen, die einem Subscriber normalerweise nicht zur Verfügung stehen sollten.

Ein Angreifer kann anschließend ein Formular erstellen, dessen E-Mail-Einstellungen speziell präparierte Inhalte enthalten.

ACPT verwendet Twig zur Verarbeitung bestimmter Templates. In den betroffenen Versionen ist diese Ausführungsumgebung nicht ausreichend eingeschränkt.

Bei der anschließenden Verarbeitung des manipulierten Formulars können die eingeschleusten Twig-Ausdrücke serverseitig ausgewertet werden. Dadurch kann der Angreifer Code innerhalb der WordPress- beziehungsweise PHP-Umgebung ausführen.

Warum ist Remote Code Execution so gefährlich?

Bei erfolgreicher Ausnutzung kann vom Angreifer kontrollierter Code im Kontext des PHP- beziehungsweise Webserver-Prozesses der betroffenen WordPress-Website ausgeführt werden.

Abhängig von der Hosting-Konfiguration kann ein Angreifer dadurch möglicherweise:

• WordPress-Dateien verändern;
• Malware oder Webshells installieren;
• Konfigurationsdateien und Datenbank-Zugangsdaten auslesen;
• WordPress-Zugangsdaten und andere Secrets auslesen;
• neue Administrator-Konten anlegen;
• Plugins oder Themes manipulieren;
• Daten aus der WordPress-Datenbank auslesen oder verändern;
• persistenten Zugriff auf die Website einrichten;
• die kompromittierte Website für weitere Angriffe verwenden.

In einer korrekt isolierten Hosting-Umgebung bedeutet Remote Code Execution innerhalb einer WordPress-Installation nicht automatisch Root-Zugriff auf den gesamten Server. Die betroffene Website selbst muss nach erfolgreicher Ausnutzung jedoch als potenziell vollständig kompromittiert betrachtet werden.

Wird CVE-2026-105701 bereits aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung hat Vservs keine eindeutige öffentliche Bestätigung gefunden, dass CVE-2026-105701 bereits aktiv in freier Wildbahn ausgenutzt wird.

Patchstack stuft die Schwachstelle allerdings als High Priority ein und weist darauf hin, dass Remote-Code-Execution-Schwachstellen dieser Art für automatisierte Angriffe und Massen-Exploitation attraktiv sind.

Dies ist kein Beleg dafür, dass bereits Angriffe stattfinden. Aufgrund der möglichen Auswirkungen sollte die verfügbare Sicherheitsaktualisierung dennoch ohne unnötige Verzögerung installiert werden.

Was sollten WordPress-Administratoren jetzt tun?

1. Prüfen Sie, ob ACPT Premium auf der Website installiert ist.
2. Prüfen Sie die aktuell installierte Plugin-Version.
3. Aktualisieren Sie mindestens auf ACPT Premium 2.0.67.
4. Installieren Sie nach Möglichkeit die aktuellste stabile ACPT Premium-Version.
5. Entfernen Sie nicht mehr benötigte Subscriber- und andere Benutzerkonten.
6. Prüfen Sie, ob eine öffentliche WordPress-Benutzerregistrierung tatsächlich erforderlich ist.
7. Kontrollieren Sie ACPT-Formulare und deren Konfiguration auf unerwartete Änderungen.
8. Führen Sie bei verdächtigen Aktivitäten zusätzliche Malware- und Integritätsprüfungen durch.

Temporäre Maßnahmen, wenn ein Update nicht sofort möglich ist

Kann ACPT Premium nicht unmittelbar aktualisiert werden, sollte das Plugin vorübergehend deaktiviert werden, sofern die Funktionalität nicht geschäftskritisch ist.

Zusätzlich sollte die öffentliche WordPress-Benutzerregistrierung deaktiviert werden, wenn diese nicht benötigt wird. Nicht mehr erforderliche Benutzerkonten sollten entfernt werden.

Eine Web Application Firewall kann eine zusätzliche Schutzebene bieten, ersetzt jedoch nicht die Installation der verfügbaren Sicherheitsaktualisierung.

Website auf eine mögliche Kompromittierung prüfen

Websites, auf denen ACPT Premium 2.0.66 oder älter eingesetzt wurde, sollten insbesondere dann überprüft werden, wenn nicht vertrauenswürdige Benutzer WordPress-Konten anlegen konnten.

Administratoren sollten unter anderem auf folgende Auffälligkeiten achten:

• unbekannte oder unerwartete WordPress-Benutzer;
• neu angelegte Subscriber-Konten im Zeitraum verdächtiger Aktivitäten;
• unerwartet angelegte ACPT-Formulare;
• verdächtige Werte in Formular- oder E-Mail-Template-Einstellungen;
• ungewöhnliche REST-API-Anfragen im Zusammenhang mit ACPT;
• unerwartete PHP-Dateien in wp-content oder anderen beschreibbaren Verzeichnissen;
• veränderte Plugin- oder Theme-Dateien;
• unbekannte Administrator-Konten;
• unbekannte WordPress-Cronjobs oder geplante Server-Aufgaben;
• unerwartete ausgehende Netzwerkverbindungen der Website.

Eine ungewöhnliche REST-API-Anfrage allein ist noch kein Beweis für eine erfolgreiche Ausnutzung. Verdächtige Requests sollten mit WordPress-Benutzern, ACPT-Konfigurationsdaten, Änderungen am Dateisystem und Webserver-Logs abgeglichen werden.

Was ist bei bestätigter Remote Code Execution zu tun?

Gibt es Hinweise darauf, dass tatsächlich beliebiger Code ausgeführt wurde, reicht es nicht aus, lediglich ACPT Premium zu aktualisieren.

Die vollständige WordPress-Installation sollte in diesem Fall als potenziell kompromittiert behandelt werden.

Mindestens folgende Bereiche sollten untersucht werden:

• WordPress-Core-Dateien;
• installierte Plugins und Themes;
• wp-config.php;
• WordPress-Benutzer und deren Rollen;
• Änderungen an der Datenbank;
• Upload- und temporäre Verzeichnisse;
• WordPress-Cronjobs und serverseitige Cronjobs;
• Webserver- und Anwendungslogs;
• API-Keys, Datenbank-Zugangsdaten und andere Secrets.

Relevante Passwörter, API-Keys und andere Zugangsdaten sollten nach der Bereinigung beziehungsweise Wiederherstellung aus einer vertrauenswürdigen Umgebung geändert werden.

Managed WordPress Hosting bei Vservs

WordPress-Sicherheit beschränkt sich nicht auf die Aktualisierung von WordPress Core. Plugins und Themes stellen einen erheblichen Teil der Angriffsfläche dar und müssen kontinuierlich gepflegt und auf Sicherheitsprobleme überwacht werden.

Mit Vservs Managed WordPress übernehmen wir unter anderem WordPress-Core-, Plugin- und Theme-Updates, Security Hardening, Monitoring, Backups, SSL und relevante Sicherheitskontrollen.

Zusammenfassung

• Plugin: ACPT Premium
• CVE: CVE-2026-105701
• Schwachstelle: Remote Code Execution
• CVSS: 8,8 – High
• Betroffene Versionen: 2.0.66 und älter
• Gepatchte Version: 2.0.67 oder neuer
• Erforderliche Berechtigungen: Subscriber oder höher
• Benutzerinteraktion: Nicht erforderlich
• Auswirkung: Ausführung von beliebigem serverseitigem Code im Kontext der WordPress-/Webserver-Umgebung
• Aktive Ausnutzung: Zum Zeitpunkt der Veröffentlichung nicht bestätigt
• Empfehlung: Umgehend auf die aktuellste stabile ACPT Premium-Version aktualisieren

Quellen

• Wordfence Intelligence – CVE-2026-105701
• Patchstack – ACPT Premium Remote Code Execution
• ACPT – offizielle Release- und Changelog-Informationen