All in One SEO Sicherheitslücke CVE-2026-100152 ermöglicht Shortcode-Ausführung ohne Login
Die All in One SEO Sicherheitslücke CVE-2026-100152 ermöglicht es einem nicht authentifizierten Angreifer unter bestimmten Voraussetzungen, beliebige WordPress-Shortcodes auszuführen. Die Schwachstelle hat einen CVSS-Score von 6,5 und betrifft All in One SEO bis einschließlich Version 5.0.2.
All in One SEO, häufig als AIOSEO bezeichnet, wird auf mehr als 2 Millionen WordPress-Websites eingesetzt. Aufgrund dieser großen Installationsbasis ist die Schwachstelle trotz ihrer Einstufung als Medium für WordPress-Betreiber relevant.
Die Sicherheitskorrektur ist in All in One SEO 5.0.2.1 enthalten. Der offizielle Changelog bestätigt, dass diese Version die Sicherheitsmaßnahmen für Shortcodes auf WordPress-Suchseiten verbessert.
Was ist die All in One SEO Sicherheitslücke CVE-2026-100152?
CVE-2026-100152 betrifft die Verarbeitung von WordPress-Suchanfragen, wenn AIOSEO-Breadcrumbs auf der Suchergebnisseite ausgegeben werden.
In verwundbaren Versionen wird vom Besucher beeinflussbare Suchtexteingabe nicht ausreichend validiert, bevor der betreffende Inhalt die WordPress-Shortcode-Verarbeitung über do_shortcode() erreicht.
Dadurch kann ein externer Angreifer ohne WordPress-Benutzerkonto unter den erforderlichen Bedingungen einen auf der Website registrierten Shortcode ausführen lassen.
Welche All in One SEO-Versionen sind verwundbar?
- All in One SEO 5.0.2 und älter – verwundbar
- All in One SEO 5.0.2.1 oder neuer – Sicherheitskorrektur vorhanden
Der offizielle AIOSEO-Changelog nennt bei Version 5.0.2.1 ausdrücklich verbesserte Sicherheitsmaßnahmen für Shortcodes auf Suchseiten.
Administratoren sollten deshalb mindestens auf Version 5.0.2.1 oder eine neuere verfügbare Version aktualisieren.
Kein WordPress-Login erforderlich
Für die beschriebene Angriffskette benötigt ein Angreifer kein authentifiziertes WordPress-Benutzerkonto.
Die Schwachstelle ist über eine öffentlich erreichbare WordPress-Suchanfrage ausnutzbar, sofern die zusätzlich erforderliche AIOSEO-Breadcrumb-Konfiguration vorhanden ist.
Damit unterscheidet sich CVE-2026-100152 von Sicherheitsproblemen, bei denen zunächst Contributor-, Editor- oder Administratorrechte erforderlich sind.
AIOSEO-Breadcrumbs auf der Suchergebnisseite sind erforderlich
Nicht jede WordPress-Installation mit All in One SEO ist über die dokumentierte Angriffskette direkt ausnutzbar.
AIOSEO-Breadcrumbs müssen auf der WordPress-Suchergebnisseite ausgegeben werden.
Dies kann beispielsweise erfolgen über:
- den AIOSEO Breadcrumbs Block;
- ein AIOSEO-Widget;
- den AIOSEO-Breadcrumb-Shortcode;
- einen Template-Tag im verwendeten WordPress-Theme;
- eine individuelle Template-Integration.
Werden AIOSEO-Breadcrumbs auf Suchergebnisseiten nicht gerendert, ist die dokumentierte Angriffskette nicht direkt verfügbar.
Diese Konfigurationsbedingung ist jedoch kein Grund, eine veraltete Plugin-Version installiert zu lassen. Die strukturelle Lösung bleibt das Update.
Was bedeutet beliebige Shortcode-Ausführung?
WordPress-Shortcodes sind serverseitige Befehle, die von WordPress Core, Plugins oder Themes registriert werden.
Sie werden normalerweise innerhalb vertrauenswürdiger WordPress-Inhalte eingesetzt, um dynamische Inhalte oder bestimmte Funktionen auszuführen.
Die tatsächlichen Auswirkungen einer beliebigen Shortcode-Ausführung hängen deshalb davon ab, welche Shortcodes auf der betroffenen WordPress-Installation verfügbar sind.
Einige Shortcodes zeigen lediglich harmlose Inhalte an. Andere können Funktionen bereitstellen, die beispielsweise:
- Daten aus der WordPress-Datenbank abrufen;
- Informationen anzeigen, die nicht über öffentliche Suchanfragen erreichbar sein sollten;
- Formulare oder andere serverseitige Aktionen ausführen;
- HTTP-Requests vom Server aus starten;
- Funktionen anderer WordPress-Plugins aktivieren;
- mit Benutzer-, Membership- oder Shop-Funktionen interagieren.
Shortcode-Ausführung ist nicht automatisch Remote Code Execution
CVE-2026-100152 sollte nicht automatisch als PHP Remote Code Execution bezeichnet werden.
Die primäre Schwachstelle ermöglicht die Ausführung von WordPress-Shortcodes. Ob daraus eine weitergehende Kompromittierung entstehen kann, hängt vollständig von den auf der jeweiligen Website registrierten Shortcodes ab.
Eine WordPress-Installation mit ausschließlich harmlosen Shortcodes hat ein anderes praktisches Risikoprofil als eine Website, auf der ein anderes Plugin einen leistungsfähigen Shortcode mit sensibler serverseitiger Funktionalität bereitstellt.
Vservs beschreibt CVE-2026-100152 deshalb als unauthenticated arbitrary shortcode execution und nicht als garantierte Serverübernahme.
Warum ist die Schwachstelle trotz CVSS 6,5 relevant?
CVE-2026-100152 hat einen CVSS-Score von 6,5 und wird als Medium eingestuft.
Für WordPress-Betreiber sind jedoch zwei zusätzliche Faktoren wichtig:
- für die Angriffskette ist kein WordPress-Konto erforderlich;
- All in One SEO wird auf mehr als 2 Millionen WordPress-Websites eingesetzt.
Eine öffentlich dokumentierte Schwachstelle in einem Plugin mit einer derart großen Installationsbasis kann für automatisierte Internet-Scans interessant werden.
Da eine Sicherheitskorrektur bereits verfügbar ist, besteht kein sinnvoller Grund, die Aktualisierung unnötig aufzuschieben.
Wird CVE-2026-100152 aktiv ausgenutzt?
Zum Zeitpunkt dieser Veröffentlichung hat Vservs keine zuverlässige Bestätigung dafür gefunden, dass CVE-2026-100152 aktiv in freier Wildbahn ausgenutzt wird.
Die Schwachstelle ist öffentlich dokumentiert und technische Informationen über den betroffenen Codepfad sind verfügbar.
Öffentlich verfügbare technische Informationen oder Exploit-Forschung sind jedoch nicht mit einem Nachweis tatsächlich beobachteter Angriffe gleichzusetzen.
Vservs empfiehlt aufgrund der fehlenden Authentifizierung und der sehr großen Installationsbasis eine zeitnahe Aktualisierung, bezeichnet die Schwachstelle derzeit jedoch nicht als aktiv ausgenutzt.
Was sollten WordPress-Administratoren jetzt tun?
- Kontrollieren, ob All in One SEO installiert ist.
- Die exakt installierte Plugin-Version überprüfen.
- Auf All in One SEO 5.0.2.1 oder neuer aktualisieren.
- Kontrollieren, ob das Update erfolgreich abgeschlossen wurde.
- Prüfen, ob AIOSEO-Breadcrumbs auf WordPress-Suchergebnisseiten ausgegeben werden.
- Individuelle Themes und Templates auf AIOSEO-Breadcrumb-Template-Tags kontrollieren.
- Nach dem Update gegebenenfalls Page Cache, Reverse-Proxy-Cache und CDN-Cache leeren.
Temporäre Mitigation, wenn ein Update nicht sofort möglich ist
Kann das Sicherheitsupdate nicht sofort installiert werden, sollte die Ausgabe von AIOSEO-Breadcrumbs auf WordPress-Suchergebnisseiten vorübergehend entfernt oder deaktiviert werden.
Damit entfällt eine notwendige Voraussetzung für die dokumentierte Angriffskette.
Kann nicht zuverlässig festgestellt werden, ob Breadcrumbs auf Suchseiten ausgegeben werden, ist das vorübergehende Deaktivieren von All in One SEO sicherer, als eine bekannte verwundbare Konfiguration öffentlich erreichbar zu lassen.
Eine Web Application Firewall kann zusätzliche Schutzmechanismen bieten, ersetzt das Plugin-Update jedoch nicht.
Auf mögliche Exploit-Versuche prüfen
Administratoren von Websites, auf denen All in One SEO 5.0.2 oder älter installiert war, sollten insbesondere Aktivitäten rund um WordPress-Suchseiten überprüfen.
Kontrollieren Sie Webserver- und Applikationslogs auf:
- ungewöhnliche Requests an WordPress-Suchergebnisseiten;
- Suchparameter mit shortcode-ähnlicher Syntax;
- große Mengen automatisierter Suchrequests von derselben oder verwandten IP-Adressen;
- kodierte oder verschleierte Shortcode-Syntax in Suchparametern;
- unerwartete WordPress- oder Pluginaktionen unmittelbar nach verdächtigen Suchrequests;
- unerwartete serverseitige Requests an externe oder interne Ziele;
- PHP- oder Applikationsfehler im Zusammenhang mit verdächtigen Suchanfragen.
Ein ungewöhnlicher Suchrequest beweist für sich allein keine erfolgreiche Ausnutzung.
Zunächst sollte festgestellt werden, ob AIOSEO-Breadcrumbs tatsächlich auf der Suchergebnisseite gerendert wurden und welche Shortcodes auf der betreffenden WordPress-Installation verfügbar waren.
Auf mögliche Folgeschäden prüfen
Gibt es Hinweise darauf, dass ein sicherheitsrelevanter Shortcode tatsächlich ausgeführt wurde, sollte genau geprüft werden, welche Funktion dieser Shortcode bereitstellt.
Abhängig vom betroffenen Shortcode können zusätzliche Kontrollen erforderlich sein:
- WordPress-Benutzer- und Administratorkonten;
- aktuelle Änderungen an Benutzerrollen;
- neu installierte oder veränderte Plugins;
- Änderungen an Themes;
- unerwartete Änderungen an WordPress-Einstellungen;
- Datenbankänderungen;
- neue oder veränderte PHP-Dateien;
- unerwartete ausgehende Netzwerkverbindungen;
- relevante WordPress- und Webserver-Logs.
Werden Hinweise auf nicht autorisierte Administratoraktionen oder serverseitige Code-Ausführung gefunden, sollte die WordPress-Installation als potenziell kompromittiert behandelt werden. Das alleinige Aktualisieren von All in One SEO reicht dann nicht mehr aus.
Managed WordPress bei Vservs
Aktuelle WordPress-Plugins sind ein wichtiger Bestandteil, um das Zeitfenster für die Ausnutzung öffentlich bekannter Schwachstellen möglichst klein zu halten.
Mit Vservs Managed WordPress übernehmen wir unter anderem WordPress Core-, Plugin- und Theme-Updates, Hardening, Monitoring, Malware-Kontrollen und Backups.
Für Websites, die eine eigene isolierte Serverumgebung benötigen, bietet Vservs außerdem Managed VPS mit technischem Servermanagement, relevanten Betriebssystem- und Sicherheitsupdates, Monitoring und Server-Hardening.
Zusammenfassung
- Plugin: All in One SEO
- CVE: CVE-2026-100152
- Severity: Medium
- CVSS: 6,5
- Aktive Installationen: mehr als 2 Millionen
- Betroffene Versionen: 5.0.2 und älter
- Abgesicherte Version: 5.0.2.1 oder neuer
- Authentifizierung erforderlich: Nein
- Auswirkung: unauthenticated arbitrary WordPress shortcode execution
- Voraussetzung: AIOSEO-Breadcrumbs werden auf der Suchergebnisseite gerendert
- Aktive Ausnutzung: zum Zeitpunkt der Veröffentlichung nicht bestätigt
- Empfehlung: auf 5.0.2.1 oder neuer aktualisieren