Autor: Vincent Zeilmaker – Vservs UG

Eine kritische WP Recipe Maker Sicherheitslücke ermöglicht es nicht authentifizierten Angreifern unter bestimmten Voraussetzungen, beliebige registrierte WordPress-Shortcodes auszuführen. Die Schwachstelle wird als CVE-2026-89274 geführt, hat einen CVSS-Score von 9.1 und betrifft WP Recipe Maker bis einschließlich Version 10.8.1.

WP Recipe Maker wird auf mehr als 50.000 WordPress-Websites eingesetzt. Die Sicherheitslücke wurde mit Version 10.8.2 behoben. Betreiber von Websites mit WP Recipe Maker sollten auf die aktuellste verfügbare Version aktualisieren.

Was ist die WP Recipe Maker Sicherheitslücke CVE-2026-89274?

CVE-2026-89274 ist eine Arbitrary-Shortcode-Execution-Schwachstelle in der Verarbeitung von Rezept-Metadaten durch WP Recipe Maker.

Der verwundbare Code verarbeitet Kommentar-Inhalte, die Bestandteil der strukturierten Metadaten eines Rezepts werden können. Während dieser Verarbeitung kann do_shortcode() aufgerufen werden, bevor die übermittelten Inhalte ausreichend bereinigt wurden.

Dadurch können von einem Angreifer kontrollierte Shortcodes serverseitig ausgeführt werden, bevor Funktionen zur Entfernung von HTML- und Shortcode-Syntax die endgültige Ausgabe verarbeiten.

Für den Angriff ist kein WordPress-Benutzerkonto erforderlich

Für die Ausnutzung der WP Recipe Maker Sicherheitslücke ist kein authentifiziertes WordPress-Benutzerkonto erforderlich.

Ein Angreifer kann eine speziell präparierte Rezeptbewertung mit Shortcode-Inhalten als Kommentar übermitteln. Für eine erfolgreiche Ausnutzung muss dieser Kommentar die auf der Website konfigurierte Freigabe erreichen, entweder durch automatische Freigabe oder durch die Freigabe eines Moderators.

Wird der manipulierte Kommentar anschließend innerhalb der Rezept-Metadaten verarbeitet, können darin enthaltene registrierte WordPress-Shortcodes serverseitig ausgeführt werden, wenn die betroffene Rezeptseite geladen wird.

Was kann ein Angreifer mit CVE-2026-89274 erreichen?

Die konkreten Auswirkungen hängen von der jeweiligen WordPress-Website und den Shortcodes ab, die von WordPress, installierten Plugins, Themes oder individuellem Code registriert wurden.

Einige Shortcodes geben ausschließlich öffentlich verfügbare Informationen zurück. Andere können jedoch Informationen oder Funktionen bereitstellen, die normalerweise nicht über nicht authentifizierte Kommentar-Inhalte erreichbar sein sollten.

Sicherheitsforscher haben gezeigt, dass die Ausgabe eines Shortcodes in die JSON-LD-Metadaten eines Rezepts gelangen kann. Dadurch können unter bestimmten Umständen Informationen für Besucher sichtbar werden, die die betroffene Rezeptseite aufrufen.

CVE-2026-89274 sollte ohne zusätzliche Voraussetzungen nicht als uneingeschränkte PHP Remote Code Execution bezeichnet werden. Die Sicherheitslücke ermöglicht die Ausführung beliebiger registrierter WordPress-Shortcodes. Die darüber hinausgehenden Auswirkungen hängen davon ab, welche Shortcodes auf der betroffenen Website verfügbar sind.

Betroffene und sichere WP Recipe Maker Versionen

Von der Sicherheitslücke betroffen sind:

WP Recipe Maker 10.8.1 und ältere Versionen.

Die Sicherheitslücke wurde behoben in:

WP Recipe Maker 10.8.2.

Der offizielle Changelog von WP Recipe Maker bestätigt, dass Version 10.8.2 verhindert, dass Kommentar-Inhalte innerhalb der Rezept-Metadaten als Shortcode ausgeführt werden.

Inzwischen sind neuere WP Recipe Maker Versionen verfügbar. Vservs empfiehlt deshalb, direkt auf die aktuellste verfügbare Version zu aktualisieren und nicht lediglich auf der ersten abgesicherten Version zu verbleiben.

Wird die WP Recipe Maker Sicherheitslücke aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung haben wir keine zuverlässige Bestätigung gefunden, dass CVE-2026-89274 aktiv in freier Wildbahn ausgenutzt wird.

Technische Informationen über die Sicherheitslücke sind jedoch öffentlich verfügbar. In Kombination mit der fehlenden Authentifizierung, einem CVSS-Score von 9.1 und mehr als 50.000 aktiven Installationen besteht ausreichend Grund, das Sicherheitsupdate zeitnah zu installieren.

Website-Betreiber sollten daher nicht auf bestätigte aktive Angriffe warten, bevor sie WP Recipe Maker aktualisieren.

Was sollten WordPress-Administratoren jetzt tun?

• Prüfen Sie, ob WP Recipe Maker auf der Website installiert ist.
• Kontrollieren Sie die aktuell installierte Version.
• Aktualisieren Sie WP Recipe Maker auf die neueste verfügbare Version.
• Verwenden Sie mindestens Version 10.8.2, in der die Sicherheitslücke behoben wurde.
• Entfernen Sie das Plugin vollständig, wenn es nicht mehr benötigt wird.
• Kontrollieren Sie kürzlich eingereichte und freigegebene Rezeptbewertungen auf verdächtige Shortcode-Inhalte.
• Prüfen Sie, welche zusätzlichen Plugins oder individuellen Funktionen WordPress-Shortcodes registrieren.

Temporäre Schutzmaßnahme, wenn ein Update nicht sofort möglich ist

Die Installation der Sicherheitsaktualisierung bleibt die empfohlene und dauerhafte Lösung. Wenn ein sofortiges Update vorübergehend nicht möglich ist, kann das Deaktivieren oder die strikte Moderation von Rezeptkommentaren und Bewertungen die Angriffsfläche reduzieren.

Insbesondere sollte verhindert werden, dass Kommentare oder Rezeptbewertungen unbekannter Besucher automatisch freigegeben und anschließend verarbeitet werden.

Diese Maßnahme ist ausschließlich als temporäre Risikoreduzierung zu betrachten und ersetzt nicht die Installation einer abgesicherten WP Recipe Maker Version.

Website auf eine mögliche Kompromittierung prüfen

Websites, auf denen eine verwundbare WP Recipe Maker Version eingesetzt wurde, sollten auf unerwartete Rezeptbewertungen und Kommentare kontrolliert werden. Besondere Aufmerksamkeit verdienen Kommentare mit Shortcode-ähnlichen Inhalten zwischen eckigen Klammern.

Administratoren sollten zusätzlich folgende Punkte überprüfen:

• kürzlich freigegebene Rezeptkommentare und Bewertungen;
• unerwartete Offenlegung privater oder noch nicht veröffentlichter Inhalte;
• Webserver-Protokolle rund um verdächtige Kommentarübermittlungen;
• unbekannte WordPress-Benutzer oder Administratorkonten;
• unerwartete Änderungen an Plugins, Themes oder WordPress-Dateien, wenn weitere Anzeichen einer Kompromittierung vorhanden sind.

Da die möglichen Auswirkungen von den auf einer bestimmten WordPress-Installation verfügbaren Shortcodes abhängen, sollten Websites mit vielen zusätzlichen Plugins oder individuell entwickelten Shortcodes besonders sorgfältig kontrolliert werden.

Managed WordPress Hosting bei Vservs

Für die Sicherheit einer WordPress-Website reicht es nicht aus, nur WordPress Core aktuell zu halten. Auch Plugins und Themes gehören zur Angriffsfläche einer WordPress-Installation und müssen kontinuierlich gewartet und auf bekannte Sicherheitsrisiken überprüft werden.

Mit Managed WordPress Hosting von Vservs übernehmen wir die technische Verwaltung von WordPress Core, Plugins und Themes und kontrollieren verfügbare Updates sowie bekannte Sicherheitsrisiken. Je nach Managed-WordPress-Lösung gehören außerdem Security Hardening, Monitoring, Malware-Prüfungen, Backups und die technische WordPress-Betreuung zum Leistungsumfang.

Für Kunden, die zusätzlich eine eigene isolierte Serverumgebung benötigen, bietet Vservs Managed VPS Hosting mit technischer Verwaltung der zugrunde liegenden Serverumgebung an.

Bei einer nicht verwalteten WordPress-Installation bleibt die Kontrolle und rechtzeitige Installation von WordPress-Core-, Plugin- und Theme-Updates in der Verantwortung des Website-Betreibers.

Quellen

• Wordfence Threat Intelligence – CVE-2026-89274
• CVE Program – CVE-2026-89274
• WordPress.org – WP Recipe Maker Plugin und offizieller Changelog

Brevo Supply-Chain-Angriff: Ein Sicherheitsvorfall in der Brevo-Infrastruktur führte am 14. September 2026 dazu, dass schädliches JavaScript über Brevo-Scripts ausgeliefert wurde, die auf externen Websites eingebunden waren.

Brevo bestätigte, dass Angreifer einen Cloudflare-API-Key erbeuteten und damit einen schädlichen Cloudflare Worker erstellten. Dieser konnte Inhalte am CDN-Rand manipulieren, bevor sie an Besucher ausgeliefert wurden.

Für WordPress-Administratoren ist der Angriff besonders relevant. Erkannte das schädliche JavaScript einen Besucher, der als WordPress Administrator angemeldet war, versuchte es unbemerkt ein schädliches WordPress-Plugin zu installieren und zu aktivieren.

Andere ausgewählte Besucher konnten stattdessen eine gefälschte Cloudflare-Verifizierungsseite sehen. Über die sogenannte ClickFix-Methode sollten Windows-Benutzer dazu gebracht werden, selbst einen schädlichen Befehl auszuführen.

Sansec schätzt, dass die betroffenen Brevo-Komponenten auf mehr als 100.000 Websites verwendet wurden.

Fakten zum Brevo Supply-Chain-Angriff

• Betroffener Dienst: eingebettete Brevo-JavaScript-Komponenten und Website-Integrationen
• Betroffene Plattformen: externe Websites, darunter WordPress-Websites
• Angriffstyp: Supply-Chain-Kompromittierung über Cloudflare-Infrastruktur
• CVE: nicht zutreffend; es handelt sich um eine Infrastrukturkompromittierung und nicht um eine klassische Software-Schwachstelle
• CVSS: nicht zutreffend
• Angriffsdatum: 14. September 2026
• Brevo-Angriffsfenster: die schädliche Manipulation war mehrere Stunden am 14. September aktiv
• Geschätzte Reichweite: laut Sansec wurden betroffene Brevo-Komponenten von mehr als 100.000 Websites verwendet
• WordPress-Auswirkung: Versuch, bei einem angemeldeten Administrator ein schädliches Plugin zu installieren und zu aktivieren
• Auswirkung auf Besucher: ClickFix-Seiten konnten Windows-Benutzer zur Ausführung eines schädlichen Befehls verleiten
• Aktueller Angriffsstatus: die ursprüngliche schädliche Auslieferung über Brevo wurde beendet
• Aktuelles Risiko: Persistence kann auf WordPress-Websites bestehen bleiben, auf denen das schädliche Plugin erfolgreich installiert wurde
• Erforderliche Maßnahme: WordPress-Websites prüfen, die während des Vorfalls betroffene Brevo-Komponenten verwendeten und von einem angemeldeten Administrator besucht wurden

Was ist bei Brevo passiert?

Der Angriff entstand nicht durch eine Schwachstelle in WordPress selbst.

Angreifer erhielten Zugriff auf einen Cloudflare-API-Key von Brevo und nutzten diesen Zugang, um über die Brevo-Infrastruktur ausgelieferte Inhalte zu manipulieren.

Mit einem schädlichen Cloudflare Worker konnten HTTP-Responses am CDN-Rand verändert werden, bevor sie die Besucher erreichten.

Dadurch konnten eigentlich legitime Brevo-JavaScript-Ressourcen zusätzlichen schädlichen JavaScript-Code an Websites und deren Besucher ausliefern.

Die ursprünglichen Website-Dateien konnten unverändert bleiben

Dies ist eine wichtige Besonderheit dieses Supply-Chain-Angriffs.

Eine WordPress-Website konnte lokal vollständig saubere Dateien besitzen und ihren Besuchern dennoch schädliches JavaScript ausliefern, weil der Schadcode von einem externen vertrauenswürdigen Dienst stammte.

Eine klassische Dateiintegritätskontrolle auf dem WordPress-Server musste den ursprünglichen Angriff deshalb nicht erkennen.

Welche Brevo-Komponenten waren betroffen?

Während des Vorfalls wurden schädliche Änderungen an verschiedenen Brevo-Ressourcen festgestellt, darunter:

• Brevo Forms;
• Brevo Conversations Widget;
• Brevo SDK Loader;
• von Brevo gehostete Seiten und Formulare.

Websites, die betroffene JavaScript-Dateien direkt aus der Brevo-Infrastruktur geladen haben, konnten den eingeschleusten Code während des Angriffs an ihre eigenen Besucher weitergeben.

WordPress-Administratoren wurden gezielt angegriffen

Das schädliche JavaScript prüfte auf WordPress-Websites, ob der aktuelle Besucher bei WordPress angemeldet war.

Wurde eine Administrator-Sitzung erkannt, versuchte der Angriff die vorhandenen Rechte des Administrators zu verwenden, um ein schädliches WordPress-Plugin hochzuladen und zu aktivieren.

Dadurch konnte aus einer vorübergehenden Kompromittierung eines externen JavaScript-Anbieters eine persistente Kompromittierung der WordPress-Installation entstehen.

Schädliches Plugin Web Media Optimizer

BleepingComputer konnte das während des Angriffs verbreitete WordPress-Plugin analysieren.

Das schädliche Plugin gab sich aus als:

Web Media Optimizer

Trotz des legitim wirkenden Namens arbeitet das Plugin als persistente Backdoor und JavaScript-Loader.

Die Analyse zeigt außerdem, dass sich das Plugin aus der normalen WordPress-Pluginliste verstecken und eine Kopie in:

wp-content/mu-plugins/

ablegen kann.

Deshalb reicht es nicht aus, ausschließlich die Plugin-Übersicht im WordPress-Backend zu kontrollieren.

Welche WordPress-Websites sollten überprüft werden?

Eine zusätzliche Untersuchung ist insbesondere erforderlich, wenn:

• die WordPress-Website am 14. September 2026 ein betroffenes Brevo-Script, Formular, SDK oder Conversations Widget verwendet hat; und
• ein WordPress Administrator die Website während des betroffenen Zeitraums angemeldet besucht hat.

In diesem Fall sollte geprüft werden, ob während des Vorfalls unerwartete Plugins installiert oder aktiviert wurden.

Plugin-Dateien direkt auf dem Server kontrollieren

Verlassen Sie sich nicht ausschließlich auf die Pluginliste in wp-admin, da schädlicher Code ein Plugin dort verbergen kann.

Kontrollieren Sie die tatsächlichen Plugin-Verzeichnisse auf dem Server:

find wp-content/plugins -maxdepth 2 -type f -ls

Kontrollieren Sie zusätzlich die Must-Use-Plugins:

find wp-content/mu-plugins -type f -ls 2>/dev/null

Untersuchen Sie unbekannte Plugins und Dateien, die rund um den 14. September 2026 erstellt oder verändert wurden.

Am 14. September geänderte PHP-Dateien prüfen

Eine erste Übersicht der an diesem Tag geänderten PHP-Dateien kann beispielsweise mit folgendem Befehl erstellt werden:

find wp-content -type f -name '*.php' -newermt '2026-09-14 00:00:00' ! -newermt '2026-09-15 00:00:00' -ls

Eine an diesem Datum geänderte Datei ist nicht automatisch schädlich. Reguläre Plugin- und Theme-Updates können ähnliche Zeitstempel erzeugen.

Vergleichen Sie verdächtige Änderungen deshalb mit bekannten Updates, Deployments und zuverlässigen Backups.

WordPress-Accesslogs überprüfen

Sansec empfiehlt, die Accesslogs vom 14. September insbesondere auf einen Plugin-Upload zu prüfen:

POST /wp-admin/update.php?action=upload-plugin

und anschließend auf eine Plugin-Aktivierung:

GET /wp-admin/plugins.php?action=activate

Wenn solche Requests während des Angriffszeitraums vorhanden sind, sollten Zeitstempel, Quell-IP, Administrator-Sitzung und die zu diesem Zeitpunkt erstellten Dateien genauer untersucht werden.

Administrator-Konten kontrollieren

Eine persistente WordPress-Backdoor kann auch nach dem ursprünglichen Supply-Chain-Angriff für weitere Änderungen verwendet werden.

Kontrollieren Sie deshalb alle Administrator-Konten:

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Untersuchen Sie insbesondere:

• unbekannte Administrator-Konten;
• kürzlich angelegte Administratoren;
• unbekannte E-Mail-Adressen;
• unerwartete Änderungen an bestehenden Benutzerkonten.

Bekannte schädliche Hostnamen

Sansec identifizierte mehrere Hostnamen, die während der Kampagne zur Auslieferung des schädlichen JavaScripts verwendet wurden:

cdn.sendibt1.com
cdn2.sendibt1.com
cdn3.sendibt1.com
cdn4.sendibt1.com
cdn9.sendibt1.com
cdn10.sendibt1.com
cdn11.sendibt1.com

Diese schädlichen Hosts lösten nach dem Vorfall nicht mehr auf.

Blockieren Sie nicht pauschal die gesamte Domain sendibt1.com. Die Hauptdomain wird auch für legitime Brevo-Funktionen verwendet. Eine vollständige Sperre kann deshalb reguläre Brevo-Dienste beeinträchtigen.

Bekannte Hashes der manipulierten JavaScript-Dateien

Sansec veröffentlichte unter anderem folgende SHA-256-Hashes der während des Angriffs manipulierten Assets:

58a5c601c9df7ca2120435588fc39f97712d9b878795f6ee500590099a432308
f67d572d2d30407b3f470904326411450763108980cdad89550fbb221fb06782
9b62c12bc5c7feb9802f58e6cf75a368690df3c754e37cc64483a92acacf87a5

Diese Hashes können bei der Untersuchung zwischengespeicherter, protokollierter oder archivierter Kopien der betroffenen externen Scripts hilfreich sein.

ClickFix zielte auf die Computer von Besuchern

Wenn kein WordPress Administrator als Ziel ausgewählt wurde, konnte Besuchern eine gefälschte Cloudflare-Verifizierungsseite angezeigt werden.

Die Besucher wurden aufgefordert, einen Befehl über Windows Run auszuführen.

Diese Angriffstechnik wird als ClickFix bezeichnet.

Eine legitime Cloudflare- oder Browser-Verifizierung fordert Besucher nicht dazu auf, Windows Run zu öffnen und einen Befehl aus der Zwischenablage auszuführen.

Wenn der ClickFix-Befehl ausgeführt wurde

Ein Windows-System, auf dem der schädliche Befehl tatsächlich ausgeführt wurde, sollte als potenziell kompromittiert behandelt werden.

Das System sollte vom Netzwerk getrennt und gründlich auf Malware untersucht werden.

Zugangsdaten, die von diesem Computer verwendet wurden oder dort verfügbar waren, sollten ebenfalls als potenziell offengelegt betrachtet werden. Bei Administratoren können darunter WordPress-, Hosting-, SSH-, SFTP- und andere Verwaltungszugänge fallen.

Brevo liefert inzwischen wieder saubere Dateien aus

Die ursprüngliche schädliche Auslieferung über die Brevo-Infrastruktur ist nicht mehr aktiv.

Der schädliche Cloudflare Worker und die zugehörigen Routen wurden entfernt und die kompromittierten Zugangsdaten widerrufen.

Sansec bestätigte anschließend, dass die schädlichen Hostnamen nicht mehr auflösten und die betroffenen Brevo-Dateien wieder sauber waren.

Das aktuelle Risiko ist Persistence

Die Bereinigung der externen Brevo-Infrastruktur entfernt jedoch kein schädliches Plugin, das während des Vorfalls bereits auf einer WordPress-Website installiert wurde.

Wenn die Installation während einer aktiven Administrator-Sitzung erfolgreich war, kann diese lokale Kompromittierung auch nach Ende des Supply-Chain-Angriffs bestehen bleiben.

Deshalb sollten zuvor exponierte WordPress-Websites überprüft werden.

Bei gefundener Malware WordPress als kompromittiert behandeln

Wenn das schädliche Plugin, ein unbekanntes MU-Plugin oder andere konkrete Hinweise auf eine Kompromittierung gefunden werden, reicht das Entfernen einer einzelnen Datei nicht aus.

Ein Angreifer mit persistentem WordPress-Zugriff kann bereits weitere Änderungen durchgeführt haben.

Kontrollieren Sie mindestens:

• alle WordPress-Benutzer;
• Plugins und MU-Plugins;
• Themes;
• kürzlich geänderte PHP-Dateien;
• WordPress-Cron-Events;
• die Datenbank;
• Webserver- und PHP-Logs;
• unerwartete ausgehende Verbindungen;
• API-Keys und andere Secrets.

Ändern Sie relevante Administrator-Passwörter und andere Zugangsdaten, wenn diese während der Kompromittierung zugänglich gewesen sein könnten.

Auch eine vollständig aktualisierte WordPress-Website konnte betroffen sein

Dieser Vorfall unterscheidet sich von einer klassischen WordPress-Schwachstelle.

Eine WordPress-Installation konnte vollständig aktuell sein und trotzdem schädliches JavaScript ausliefern, weil die Kompromittierung bei einem vertrauenswürdigen externen Anbieter stattfand.

Der Vorfall zeigt, dass WordPress-Sicherheit nicht nur aus Updates für Core, Plugins und Themes besteht.

Externe Scripts, Marketingplattformen, Chat-Widgets, Analytics-Dienste und andere Third-Party-Integrationen gehören ebenfalls zur Angriffsfläche einer Website.

Verantwortung für WordPress- und CMS-Sicherheit

Kunden ohne Managed WordPress/CMS-Wartung oder einen separat vereinbarten Managed-CMS-Service sind selbst dafür verantwortlich, WordPress, WooCommerce, andere CMS-Plattformen, Plugins, Erweiterungen und Themes rechtzeitig zu aktualisieren und externe Integrationen ihrer Website zu verwalten.

Wenn Missbrauch, Malware oder nachweislich überfällige Wartung dazu führen, dass eine Website oder ein Dienst ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betreffende Website oder den Dienst vorübergehend isolieren oder deaktivieren.

Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weitere Schäden, Missbrauch oder Beeinträchtigungen der Infrastruktur und Dienstleistungen zu verhindern.

Wiederherstellungsarbeiten an nicht verwalteten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen hängen von der Schwere des Vorfalls und der verfügbaren Kapazität ab. Wenn kein sofortiges Eingreifen erforderlich ist, können die Arbeiten ab dem nächsten Werktag aufgenommen werden.

Managed WordPress von Vservs

Der Brevo Supply-Chain-Angriff zeigt, dass Sicherheitsvorfälle auch außerhalb von WordPress Core und installierten Plugins entstehen können. Professionelle WordPress-Sicherheit erfordert deshalb neben Patchmanagement auch Monitoring und die Untersuchung ungewöhnlicher Dateien und Aktivitäten.

Mit Vservs Managed WordPress übernehmen wir unter anderem die technische WordPress-Verwaltung, Core-, Plugin- und Theme-Updates, Security Hardening und Monitoring, Malware-Kontrollen, Backups sowie technische Unterstützung bei Sicherheitsvorfällen im Rahmen der vereinbarten Leistungen.

Quellen

• Sansec – Brevo Supply Chain Attack hits 100k+ sites
• BleepingComputer – Brevo Supply-Chain-Angriff und WordPress-Backdoor-Analyse

WordPress 7.1.1 Security Update: Das WordPress Security Team hat WordPress 7.1.1 als Wartungs- und Sicherheitsupdate veröffentlicht. Die neue Version enthält elf separate Sicherheitskorrekturen für WordPress Core.

Zu den behobenen Sicherheitsproblemen gehören Stored Cross-Site Scripting (XSS), authentifizierte Path Traversal, Arbitrary Post Overwrite sowie mehrere fehlende oder unzureichende Autorisierungsprüfungen.

WordPress empfiehlt Website-Betreibern ausdrücklich, ihre Installationen sofort zu aktualisieren.

Fakten zum WordPress 7.1.1 Security Update

• Produkt: WordPress Core
• Version: WordPress 7.1.1
• Veröffentlichung: 17. September 2026
• Typ: Maintenance and Security Release
• Security-Fixes: 11
• Zusätzlich: Fehlerkorrekturen in WordPress Core und im Block Editor
• Betroffene Hauptversion: WordPress 7.1 vor 7.1.1
• Aktuelle sichere Version: WordPress 7.1.1
• Ältere Branches: Sicherheitskorrekturen werden, soweit erforderlich, auf ältere betroffene Branches zurückportiert
• CVEs: In der ursprünglichen WordPress-Sicherheitsmeldung wurden für die elf einzelnen Probleme noch keine CVE-Nummern veröffentlicht
• Aktive Ausnutzung: derzeit nicht bestätigt
• Erforderliche Maßnahme: WordPress sofort auf 7.1.1 oder die aktuelle Security-Version des verwendeten unterstützten Branches aktualisieren

Elf Sicherheitsprobleme behoben

WordPress 7.1.1 ist nicht nur ein reguläres Wartungsupdate. Neben verschiedenen Fehlerkorrekturen enthält die Version elf Sicherheitsverbesserungen.

Das WordPress Security Team nennt unter anderem folgende behobene Probleme:

• Stored Cross-Site Scripting in wpautop(), durch das ein nicht angemeldeter Besucher unter der Voraussetzung einer Kommentarfreigabe Scriptcode einschleusen konnte;
• ein Problem in der WordPress HTML API, bei dem set_modifiable_text() durch speziell präparierte Abschlusssequenzen aus einem HTML-Kommentar ausbrechen konnte;
• Stored XSS in bestimmten Themes mit Unterstützung für WordPress Custom Headers;
• speziell präparierte URLs, über die ein inaktives Theme von WordPress.org automatisch installiert und als Vorschau geladen werden konnte;
• die Möglichkeit für einen Site Administrator, ein installiertes Network-only-Plugin netzwerkweit zu aktivieren;
• authentifizierte Path Traversal im WP REST Templates Controller;
• ein XML-RPC-Problem, über das customize_changeset-Posts veröffentlicht und Prüfungen auf edit_css umgangen werden konnten;
• Arbitrary Post Overwrite durch Benutzer mit Contributor-Rechten oder höher;
• eine fehlende read_post-Prüfung in attachment_submitbox_metadata(), wodurch der Titel eines privaten Parent-Posts offengelegt werden konnte;
• fehlende Autorisierung, durch die Contributors und Benutzer mit höheren Rechten Slugs von Draft- und Pending-Posts auslesen konnten;
• Comments, einschließlich Notes, konnten von jedem angemeldeten Benutzer einem anderen Post zugeordnet werden.

Stored XSS über wpautop()

Eines der auffälligsten Sicherheitsprobleme befindet sich in wpautop(), einer häufig verwendeten WordPress-Core-Funktion zur automatischen Verarbeitung von Absätzen und HTML-Zeilenumbrüchen.

Laut der offiziellen WordPress-Sicherheitsmeldung konnte ein nicht angemeldeter Besucher speziell präparierte Inhalte verwenden, um gespeicherten JavaScript-Code einzuschleusen.

Für die tatsächliche Ausführung gilt jedoch eine wichtige Voraussetzung: Der betreffende Kommentar muss freigegeben werden.

Dennoch handelt es sich um Stored XSS in WordPress Core. Schädlicher Inhalt kann gespeichert bleiben und später im Browserkontext eines anderen Benutzers ausgeführt werden.

Stored XSS in Themes mit Custom Headers

Ein weiteres Stored-XSS-Problem betrifft bestimmte WordPress-Themes, die Custom Headers unterstützen.

Da diese Funktion auf dem Zusammenspiel zwischen WordPress Core und Themes basiert, ist zur Behebung des zugrunde liegenden Problems das WordPress-Core-Sicherheitsupdate erforderlich.

Authenticated Path Traversal in der REST API

WordPress 7.1.1 behebt außerdem eine authentifizierte Path-Traversal-Schwachstelle im WP REST Templates Controller.

Bei Path Traversal können unzureichend geprüfte Pfadangaben dazu führen, dass eine Anwendung auf Bereiche außerhalb der vorgesehenen Verzeichnisstruktur zugreift.

Für diese Schwachstelle ist eine Authentifizierung erforderlich. Die ursprüngliche WordPress-Sicherheitsmeldung enthält derzeit weder eine separate CVE-Nummer noch detaillierte Exploitinformationen.

Contributors konnten beliebige Posts überschreiben

Das Update behebt außerdem ein Problem, durch das Benutzer mit Contributor-Rechten oder höher beliebige Posts überschreiben konnten.

Contributor ist normalerweise eine relativ eingeschränkte WordPress-Rolle. Ein Contributor darf eigene Inhalte erstellen und verwalten, sollte jedoch nicht beliebige Inhalte anderer Benutzer überschreiben können.

Diese Sicherheitskorrektur ist daher insbesondere für Websites relevant, auf denen mehrere Redakteure, Gastautoren oder andere Benutzer Zugriff auf WordPress haben.

XML-RPC-Autorisierungsproblem

Das Sicherheitsupdate behebt ebenfalls ein Autorisierungsproblem in XML-RPC.

Über XML-RPC konnten customize_changeset-Posts veröffentlicht werden, während Prüfungen auf die WordPress-Capability:

edit_css

umgangen wurden.

Speziell präparierte URLs konnten ein Theme installieren

Eine weitere Sicherheitskorrektur verhindert, dass speziell präparierte URLs automatisch ein inaktives Theme von WordPress.org installieren und im Vorschaumodus öffnen.

Dies bedeutet nicht, dass ein Angreifer ein beliebiges externes PHP-Theme hochladen konnte. Das Problem betrifft die unerwünschte Installation und Vorschau eines Themes aus der offiziellen WordPress.org-Infrastruktur.

Mehrere Autorisierungsprobleme behoben

Ein wesentlicher Teil der übrigen Korrekturen betrifft fehlende oder unzureichende Autorisierungsprüfungen.

• Offenlegung des Titels eines privaten Parent-Posts;
• Offenlegung von Slugs von Draft- und Pending-Posts;
• Neuzuordnung von Comments durch authentifizierte Benutzer;
• netzwerkweite Aktivierung eines Network-only-Plugins durch einen Site Administrator.

Die Auswirkungen unterscheiden sich je nach Sicherheitsproblem. Zusammen sind sie jedoch ein klarer Grund, dieses Security Update nicht aufzuschieben.

WordPress sofort auf 7.1.1 aktualisieren

WordPress empfiehlt ausdrücklich, Websites sofort auf die neue Sicherheitsversion zu aktualisieren.

Für Websites auf dem aktuellen 7.1-Branch bedeutet dies:

WordPress 7.1.1

Die installierte Version kann mit WP-CLI überprüft werden:

wp core version

Abhängig vom Verwaltungsprozess kann das Update über das WordPress-Dashboard oder per WP-CLI durchgeführt werden:

wp core update

Anschließend sollte die aktive Version erneut kontrolliert werden:

wp core version

Automatische Updates kontrollieren

WordPress gibt an, dass Websites mit unterstützten automatischen Core-Background-Updates den Aktualisierungsvorgang automatisch starten.

Gehen Sie dennoch nicht ungeprüft davon aus, dass jede Website erfolgreich aktualisiert wurde.

Dateiberechtigungen, unzureichender Speicherplatz, Fehler während des Updates oder abweichende WordPress-Konfigurationen können eine automatische Aktualisierung verhindern.

Kontrollieren Sie daher die tatsächlich aktive WordPress-Version.

Ältere WordPress-Versionen

Das WordPress Security Team gibt an, dass die Sicherheitskorrekturen bei Bedarf auch für ältere betroffene Branches bereitgestellt werden.

WordPress weist jedoch ausdrücklich darauf hin, dass nur die aktuellste WordPress-Version aktiv unterstützt wird.

Vservs empfiehlt deshalb, soweit technisch möglich, eine aktuelle WordPress-Version einzusetzen und nicht dauerhaft auf einem älteren Core-Branch zu verbleiben.

Keine bestätigte aktive Ausnutzung

Zum Zeitpunkt der Veröffentlichung hat Vservs keine zuverlässige Quelle gefunden, die eine aktive Ausnutzung einer oder mehrerer der elf in WordPress 7.1.1 behobenen Schwachstellen eindeutig bestätigt.

Wir klassifizieren diese Sicherheitsprobleme daher derzeit nicht als aktiv ausgenutzt.

Dies ändert nichts an der Update-Empfehlung. WordPress selbst klassifiziert 7.1.1 als Security Release und empfiehlt die sofortige Aktualisierung.

Noch keine einzelnen CVE-Nummern veröffentlicht

Die ursprüngliche WordPress-Sicherheitsmeldung beschreibt die elf behobenen Probleme, nennt derzeit jedoch keine einzelnen zugehörigen CVE-Nummern.

Vservs ordnet diesen Schwachstellen deshalb keine unbestätigten CVE-Nummern zu.

Keine universellen Indicators of Compromise

Derzeit sind keine zuverlässigen universellen IP-Adressen, Malware-Hashes, Dateinamen oder anderen Indicators of Compromise veröffentlicht, die speziell einer Ausnutzung der in WordPress 7.1.1 behobenen Schwachstellen zugeordnet werden können.

Vservs veröffentlicht daher keine spekulativen IoCs.

Für reguläre Websites ohne konkrete Hinweise auf eine Kompromittierung ist die Installation und anschließende Kontrolle des Security Updates die wichtigste Maßnahme.

WordPress Core nach dem Update überprüfen

Nach der Aktualisierung kann die Integrität der offiziellen WordPress-Core-Dateien mit folgendem Befehl überprüft werden:

wp core verify-checksums

Unerwartete Abweichungen sollten untersucht werden.

Beachten Sie, dass diese Prüfung WordPress Core kontrolliert. Plugins, Themes, Uploads und andere Dateien innerhalb von wp-content werden damit nicht vollständig überprüft.

Verantwortung für WordPress-Sicherheitsupdates

Kunden ohne Managed WordPress/CMS-Wartung oder einen separat vereinbarten Managed-CMS-Service sind selbst dafür verantwortlich, WordPress, WooCommerce, andere CMS-Plattformen, Plugins, Erweiterungen und Themes rechtzeitig zu aktualisieren.

Wenn Missbrauch, Malware oder nachweislich überfällige Wartung dazu führen, dass eine Website oder ein Dienst ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betreffende Website oder den Dienst vorübergehend isolieren oder deaktivieren.

Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weitere Schäden, Missbrauch oder Beeinträchtigungen der Infrastruktur und Dienstleistungen zu verhindern.

Wiederherstellungsarbeiten an nicht verwalteten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen hängen von der Schwere des Vorfalls und der verfügbaren Kapazität ab. Wenn kein sofortiges Eingreifen erforderlich ist, können die Arbeiten ab dem nächsten Werktag aufgenommen werden.

Managed WordPress von Vservs

WordPress 7.1.1 zeigt, dass Sicherheitswartung nicht nur Plugins und Themes betrifft. Auch WordPress Core erhält regelmäßig Sicherheitsupdates, die zeitnah installiert werden müssen.

Mit Vservs Managed WordPress übernehmen wir unter anderem die technische WordPress-Verwaltung, Core-, Plugin- und Theme-Updates, Security Hardening und Monitoring, Malware-Kontrollen, Backups sowie die technische WordPress-Wartung.

Quellen

• WordPress.org – WordPress 7.1.1 Maintenance and Security Release
• WordPress.org – Dokumentation zu WordPress 7.1.1
• WordPress.org – offizielles Release-Archiv

LiteSpeed 6.3.7 Build 1 enthält ein zusätzliches Sicherheitsupdate für LiteSpeed Web Server Enterprise. Der neue Build wurde am 15. September 2026 veröffentlicht und enthält einen weiteren Security-Fix für einen Corner Case bei der Validierung interner Redirect-URLs.

Administratoren, die LiteSpeed Enterprise nach der vorherigen Sicherheitswarnung bereits auf 6.3.7 aktualisiert haben, sollten deshalb erneut prüfen, welcher Build tatsächlich auf dem Server installiert ist.

Was wurde geändert?

LiteSpeed Web Server Enterprise 6.3.7 Build 0 wurde am 11. September mit mehreren Sicherheitsverbesserungen veröffentlicht. Dazu gehören eine verbesserte Authentifizierung und Validierung von lscgid-Requests, eine strengere Validierung interner Redirect-URLs sowie ein verbesserter Schutz wichtiger interner Environment Variables.

Am 15. September folgte 6.3.7 Build 1. Laut offiziellem LiteSpeed-Changelog behebt dieser Build einen weiteren sicherheitsrelevanten Corner Case bei der Validierung interner Redirect-URLs.

Warum ist dieses Update wichtig?

Die vorherige LiteSpeed Enterprise-Sicherheitswarnung betrifft eine schwerwiegende Privilege-Escalation-Schwachstelle. Laut cPanel kann ein bösartiger Website-Benutzer mit niedrigen Berechtigungen möglicherweise die normale Account-Isolierung umgehen und Root-Zugriff auf den gesamten Server erhalten.

Dabei können auch Isolierungsmechanismen wie CageFS umgangen werden. Auf Shared-Hosting-Systemen könnte dadurch ein kompromittierter Hosting-Account möglicherweise andere Websites sowie den zugrunde liegenden Server gefährden.

Bereits aktualisierte Server erneut kontrollieren

Nach der zusätzlichen Veröffentlichung reicht es nicht mehr aus, ausschließlich zu prüfen, ob Version 6.3.7 installiert ist. Administratoren sollten auch den installierten Build kontrollieren und sicherstellen, dass der aktuellste verfügbare LiteSpeed Web Server Enterprise-Build verwendet wird.

• 6.3.7 Build 0: veröffentlicht am 11. September 2026.
• 6.3.7 Build 1: veröffentlicht am 15. September 2026 mit einem zusätzlichen Security-Fix für die Validierung interner Redirect-URLs.

Was sollten Administratoren tun?

• Installierte LiteSpeed Enterprise-Version und Build kontrollieren.
• Auf den aktuellsten verfügbaren LiteSpeed Web Server Enterprise-Build aktualisieren.
• Nicht davon ausgehen, dass ein früheres Update auf 6.3.7 automatisch den zusätzlichen Fix enthält.
• Nach dem Update prüfen, ob LiteSpeed und die gehosteten Websites ordnungsgemäß funktionieren.
• Verdächtige Aktivitäten untersuchen, wenn der Server längere Zeit eine verwundbare Version verwendet hat.

Keine neue CVE veröffentlicht

Für diesen zusätzlichen Security-Fix ist zum Zeitpunkt der Veröffentlichung keine separate CVE-Kennung bekannt. LiteSpeed beschreibt die Änderung als zusätzliche Korrektur eines weiteren Corner Cases bei der Validierung interner Redirect-URLs.

Es gibt außerdem keine verlässliche öffentliche Bestätigung, dass dieser spezifische zusätzliche Corner Case aktiv ausgenutzt wird. Aufgrund der Schwere der zugrunde liegenden LiteSpeed Enterprise-Sicherheitslücke sollte das aktuelle Update dennoch zeitnah installiert werden.

Vservs Managed Hosting

Bei Vservs Managed VPS werden kritische Server- und Sicherheitsupdates im Rahmen der technischen Serververwaltung durchgeführt. Bei schwerwiegenden Schwachstellen prüfen wir zusätzlich, ob weitere Schutzmaßnahmen oder Untersuchungen erforderlich sind.

Quellen

• LiteSpeed Web Server – offizielles Changelog
• LiteSpeed Web Server – Release Log
• cPanel – LiteSpeed Enterprise Security Advisory

Eine kritische Schwachstelle im WordPress-Plugin WooCommerce Wholesale Lead Capture wird aktiv ausgenutzt, um PHP-Backdoors auf verwundbaren Websites zu platzieren. Die Sicherheitslücke wird als CVE-2026-27540 geführt und ermöglicht einem nicht authentifizierten Angreifer, beliebige Dateien auf den Server hochzuladen.

Die Schwachstelle betrifft WooCommerce Wholesale Lead Capture bis einschließlich Version 2.0.3.1. Die Sicherheitslücke wurde in Version 2.0.3.2 behoben.

Die Schwachstelle wurde bereits früher im Jahr 2026 veröffentlicht. Die Situation ist inzwischen jedoch deutlich dringlicher geworden, da reale Angriffe beobachtet wurden, bei denen CVE-2026-27540 zur Installation schädlicher PHP-Dateien auf WordPress-Websites verwendet wird.

Was ist CVE-2026-27540?

CVE-2026-27540 ist eine unauthentifizierte Arbitrary-File-Upload-Schwachstelle in der Wholesale Lead Capture Plugin for WooCommerce.

Das Plugin stellt unter anderem Funktionen für die Registrierung von Wholesale- und Geschäftskunden innerhalb von WooCommerce bereit. Dazu gehören Funktionen, über die Dateien über Registrierungsformulare hochgeladen werden können.

Durch eine unzureichende Kontrolle der hochgeladenen Dateitypen kann ein Angreifer ohne WordPress-Account beliebige Dateien auf den Server hochladen.

Dazu können auch ausführbare PHP-Dateien gehören.

Vom Datei-Upload zur vollständigen WordPress-Übernahme

Die Möglichkeit, eine PHP-Datei hochzuladen, ist erheblich schwerwiegender als ein gewöhnlicher unerwünschter Datei-Upload.

Ist die hochgeladene Datei über den Webserver erreichbar und ausführbar, kann ein Angreifer eine PHP-Webshell oder eine andere Backdoor installieren. Dadurch kann Code mit den Berechtigungen des betroffenen Hosting-Accounts ausgeführt werden.

Ein Angreifer könnte dadurch unter anderem:

• WordPress-Dateien verändern;
• Malware und dauerhafte Backdoors installieren;
• Datenbank-Zugangsdaten und Konfigurationsdateien auslesen;
• WordPress-Administratoren anlegen oder verändern;
• Besucher auf schädliche Websites umleiten;
• Spam- oder Phishing-Seiten bereitstellen;
• die vollständige WordPress-Website übernehmen.

Welche Versionen sind verwundbar?

Verwundbar:

• WooCommerce Wholesale Lead Capture 2.0.3.1 und älter.

Gegen CVE-2026-27540 abgesichert:

• WooCommerce Wholesale Lead Capture 2.0.3.2 oder neuer.

Kontrollieren Sie immer die tatsächlich installierte Plugin-Version. Ein aktuelles WordPress Core oder WooCommerce bedeutet nicht automatisch, dass dieses separate Plugin ebenfalls aktualisiert wurde.

Wird CVE-2026-27540 aktiv ausgenutzt?

Ja. Eine aktive Ausnutzung von CVE-2026-27540 wurde beobachtet.

Sicherheitsforscher berichten von Angriffen, bei denen die Schwachstelle verwendet wird, um schädliche PHP-Dateien und Webshells auf verwundbare WordPress-Installationen hochzuladen.

Da die Schwachstelle tatsächlich in realen Angriffen ausgenutzt wird, sollten Administratoren einer verwundbaren Website ihre Maßnahmen nicht auf die Installation des Updates beschränken. Zusätzlich sollte kontrolliert werden, ob die Website möglicherweise bereits kompromittiert wurde.

Was sollten WordPress- und WooCommerce-Administratoren jetzt tun?

• Sofort kontrollieren, ob WooCommerce Wholesale Lead Capture installiert ist.
• Die vollständige Plugin-Version überprüfen.
• Version 2.0.3.1 und älter sofort auf 2.0.3.2 oder neuer aktualisieren.
• Das Plugin deaktivieren oder entfernen, wenn eine abgesicherte Version nicht sofort installiert werden kann.
• Die Website auf unbekannte PHP-Dateien und andere kürzlich erstellte Dateien überprüfen.
• WordPress auf unbekannte Administratoraccounts kontrollieren.
• Webserver-Logs auf verdächtige Requests zur Upload-Funktion des Plugins untersuchen.

Kontrolle auf eine mögliche Kompromittierung

Da CVE-2026-27540 aktiv ausgenutzt wird, sollten verwundbare Installationen auf Anzeichen einer Kompromittierung kontrolliert werden.

Überprüfen Sie unter anderem:

• unbekannte PHP-Dateien in Upload-Verzeichnissen;
• PHP-, PHTML- oder andere ausführbare Dateien unter wp-content/uploads;
• kürzlich veränderte WordPress-Core-, Plugin- und Theme-Dateien;
• unbekannte WordPress-Administratoraccounts;
• unerwartete Änderungen an wp-config.php;
• unbekannte Plugins oder Must-Use-Plugins;
• verdächtige WordPress-Cronjobs;
• unerwartete ausgehende Verbindungen der Website;
• Spam-Seiten, Weiterleitungen oder unbekannte Inhalte auf der Website.

Zusätzlich können die Webserver-Logs auf verdächtige Requests im Zusammenhang mit der verwundbaren Upload-Funktion kontrolliert werden. Die betroffene Funktionalität umfasst den Handler wwlc_file_upload_handler.

Werden verdächtige PHP-Dateien, unbekannte Administratoraccounts oder andere Hinweise auf eine Kompromittierung gefunden, reicht die Aktualisierung des Plugins nicht aus. Die vollständige WordPress-Installation und gegebenenfalls auch die zugrunde liegende Hosting-Umgebung sollten dann untersucht werden.

Vservs Managed WordPress

Mit Vservs Managed WordPress Hosting werden WordPress Core, Plugins und Themes technisch verwaltet und auf Updates sowie bekannte Sicherheitsrisiken überwacht.

Kritische Schwachstellen wie CVE-2026-27540 zeigen, warum Plugin-Verwaltung mehr umfasst als gelegentliche Updates. Sobald eine aktive Ausnutzung festgestellt wird, sind schnelles Patchen, Monitoring und gegebenenfalls eine Kontrolle auf Kompromittierung entscheidend.

Quellen

• WPScan – CVE-2026-27540
• Wordfence – CVE-2026-27540

Eine schwerwiegende Schwachstelle in den Node.js Toolkit- und Ruby-Erweiterungen für Plesk kann einem Hosting-Benutzer ermöglichen, beliebige Befehle als Root auf dem gesamten Linux-Server auszuführen. Die Schwachstelle wird als CVE-2026-68489 geführt und betrifft eine lokale Privilege Escalation.

Nach Angaben von Plesk kann ein Benutzer mit Zugriff auf einen Plesk-Hosting-Account die verwundbaren Erweiterungen möglicherweise nutzen, um seine eingeschränkten Berechtigungen bis auf Root-Ebene zu erhöhen. Dadurch kann der Angreifer vollständige Kontrolle über den Plesk-Server erhalten.

Besonders schwerwiegend ist dies bei Shared-Hosting- und anderen Multi-Tenant-Plesk-Umgebungen, da ein kompromittierter oder böswilliger Hosting-Account möglicherweise die Grenzen der eigenen Subscription verlassen kann.

Was ist CVE-2026-68489?

CVE-2026-68489 ist eine lokale Privilege-Escalation-Schwachstelle in zwei Plesk-Erweiterungen für Linux:

• Node.js Toolkit;
• Ruby.

Es handelt sich nicht um einen direkten unauthentifizierten Angriff aus dem Internet. Ein Angreifer benötigt zunächst Zugriff auf einen Plesk-Benutzeraccount auf dem Server.

Ist diese Voraussetzung erfüllt, kann die Schwachstelle jedoch einem normalen Plesk-Benutzer ermöglichen, beliebige Befehle mit Root-Rechten auszuführen.

Welche Plesk-Versionen sind verwundbar?

Node.js Toolkit für Plesk Linux:

• verwundbar: Version 2.4.11 und älter;
• abgesichert: Version 2.5.0 und neuer.

Ruby-Erweiterung für Plesk Linux:

• verwundbar: Version 1.6.5 und älter;
• abgesichert: Version 1.6.6 und neuer.

Plesk für Windows ist von CVE-2026-68489 nicht betroffen.

Was kann ein Angreifer erreichen?

Bei erfolgreicher Ausnutzung kann ein Plesk-Benutzer beliebige Befehle als Root ausführen.

Root ist die höchste Berechtigungsstufe auf einem Linux-Server. Nach einer erfolgreichen Ausnutzung können die normalen Sicherheitsgrenzen zwischen einzelnen Plesk-Subscriptions daher nicht mehr als zuverlässig betrachtet werden.

Ein Angreifer könnte dadurch unter anderem:

• auf andere Hosting-Accounts zugreifen;
• Website-Dateien anderer Kunden lesen oder verändern;
• auf Datenbanken, Zugangsdaten und Konfigurationsdateien zugreifen;
• Serverkonfigurationen verändern;
• Systembenutzer oder SSH-Keys hinzufügen;
• Malware oder dauerhafte Backdoors installieren;
• Protokolldaten manipulieren;
• die vollständige Kontrolle über den Plesk-Server übernehmen.

Wird CVE-2026-68489 aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung liegen uns keine zuverlässigen Informationen aus Primärquellen vor, die eine aktive Ausnutzung von CVE-2026-68489 in realen Angriffen bestätigen.

Wir stufen die Schwachstelle deshalb nicht als aktiv ausgenutzten Zero-Day ein.

Die mögliche Auswirkung bleibt dennoch sehr schwerwiegend. Insbesondere Plesk-Server mit mehreren unabhängigen Hosting-Benutzern sollten die betroffenen Erweiterungen mit hoher Priorität aktualisieren.

Was sollten Plesk-Administratoren jetzt tun?

• Als Administrator bei Plesk anmelden.
• Extensions > My Extensions öffnen.
• Die installierte Version des Node.js Toolkit kontrollieren.
• Node.js Toolkit auf Version 2.5.0 oder neuer aktualisieren.
• Die installierte Ruby-Erweiterung kontrollieren.
• Ruby auf Version 1.6.6 oder neuer aktualisieren.
• Nach dem Update kontrollieren, ob tatsächlich die abgesicherten Versionen installiert sind.

Temporäre Schutzmaßnahme, wenn ein Update nicht sofort möglich ist

Plesk beschreibt eine temporäre Schutzmaßnahme für Umgebungen, in denen die Erweiterungen nicht unmittelbar aktualisiert werden können.

Öffnen Sie für jeden aktiven Serviceplan:

Service Plans > betreffender Serviceplan > Permissions

Deaktivieren Sie dort:

• Node.js support management;
• Ruby support management.

Alternativ können Node.js Toolkit und/oder die Ruby-Erweiterung vorübergehend vollständig entfernt werden.

Dies ist lediglich eine temporäre Mitigation. Die Installation der abgesicherten Versionen bleibt die empfohlene Lösung. Anwendungen, die von einer entfernten Erweiterung abhängig sind, funktionieren anschließend möglicherweise nicht mehr.

Kontrolle auf eine mögliche Kompromittierung

Eine verwundbare Erweiterung bedeutet nicht automatisch, dass der Server kompromittiert wurde.

Auf Servern, auf denen nicht vertrauenswürdige oder kompromittierte Plesk-Benutzer Zugriff hatten, sollten Administratoren jedoch zusätzliche Kontrollen durchführen.

• Unbekannte Prozesse kontrollieren, die als Root ausgeführt werden.
• Neue oder veränderte Dateien unter /root überprüfen.
• SSH-authorized_keys von Root und anderen Administratoraccounts kontrollieren.
• Nach unbekannten Systembenutzern suchen.
• Unerwartete Änderungen unter /etc kontrollieren.
• Unbekannte Cronjobs und systemd-Services überprüfen.
• Aktuelle Authentifizierungs- und Berechtigungsprotokolle untersuchen.
• Kontrollieren, ob Dateien außerhalb einer Plesk-Subscription unerwartet verändert wurden.

Gibt es Hinweise darauf, dass ein Hosting-Benutzer tatsächlich Root-Rechte erlangt hat, reicht das Aktualisieren der Plesk-Erweiterungen nicht aus. Der gesamte Server sollte dann als potenziell kompromittiert betrachtet und entsprechend untersucht werden.

Vservs Managed Hosting

Bei Vservs Managed Hosting übernehmen wir unter anderem Serververwaltung, Sicherheitsupdates, Hardening und Monitoring von verwalteten Linux-Serverumgebungen.

Schwachstellen wie CVE-2026-68489 zeigen, warum nicht nur das Betriebssystem und Plesk selbst aktuell gehalten werden müssen. Auch einzelne Control-Panel-Erweiterungen können Sicherheitslücken enthalten, die letztendlich den gesamten Server gefährden.

Quellen

• Plesk – CVE-2026-68489 Security Advisory

Zwei kritische Schwachstellen in The Events Calendar können einem nicht authentifizierten Angreifer ermöglichen, eine verwundbare WordPress-Website vollständig zu übernehmen. Die Sicherheitslücken sind als CVE-2026-78006 und CVE-2026-78159 registriert und wurden beide mit CVSS 9,8 (Critical) bewertet.

The Events Calendar wird auf mehr als 600.000 WordPress-Websites eingesetzt. Die bekannten Angriffsketten können letztendlich zur Ausführung von Code auf dem Server und damit zur vollständigen Kontrolle über die betroffene WordPress-Installation führen.

Vservs empfiehlt allen Administratoren, die The Events Calendar einsetzen, die installierte Version sofort zu kontrollieren und auf Version 6.17.4.1 oder neuer zu aktualisieren.

Was ist bei The Events Calendar passiert?

In The Events Calendar wurden zwei unterschiedliche Angriffsketten entdeckt. Beide können unter bestimmten Voraussetzungen ohne vorhandenes WordPress-Benutzerkonto ausgelöst werden.

Die Schwachstellen betreffen die Verarbeitung und Darstellung von WordPress-Widgets und Blocks innerhalb von Event-Seiten.

Unter bestimmten Bedingungen können von einem Angreifer kontrollierte Daten aus Kommentaren auf Event-Seiten in Funktionen gelangen, die nicht für die Verarbeitung solcher Eingaben vorgesehen sind.

CVE-2026-78006: PHP Object Injection bis Remote Code Execution

CVE-2026-78006 betrifft unzureichende Schutzmaßnahmen bei der Verarbeitung von Widget-Daten.

Durch eine Kombination aus PHP-Objekt-Deserialisierung, Magic Methods und der Verarbeitung kopierter Widget-Daten kann ein Angreifer letztendlich beliebigen Code auf dem zugrunde liegenden Server ausführen.

Die Schwachstelle hat einen CVSS-Score von 9,8 Critical.

Betroffen:

• The Events Calendar bis einschließlich Version 6.17.4.

Behoben:

• The Events Calendar 6.17.4.1 oder neuer.

CVE-2026-78159: Code Injection bis Remote Code Execution

Die zweite Schwachstelle, CVE-2026-78159, ist ebenfalls Teil einer Angriffskette, die ohne vorherige Authentifizierung gestartet werden kann.

Durch unzureichende Validierung der Widget-Daten kann ein speziell präparierter Wert Sicherheitskontrollen umgehen und eine Callable-Funktion innerhalb der Plugin-Logik erreichen.

Dadurch kann ein nicht authentifizierter Angreifer Code auf dem Server ausführen.

Auch CVE-2026-78159 wurde mit CVSS 9,8 Critical bewertet.

Betroffen sind Versionen bis einschließlich 6.17.3. Die erste Korrektur erfolgte mit 6.17.3.1. Da CVE-2026-78006 jedoch auch spätere Versionen bis einschließlich 6.17.4 betrifft, muss letztendlich mindestens Version 6.17.4.1 installiert werden.

The Events Calendar 6.17.4 ist noch verwundbar

Dieses Versionsdetail ist besonders wichtig. Eine Website mit The Events Calendar 6.17.4 ist nicht vollständig gegen beide Schwachstellen geschützt.

Die Version, die beide Sicherheitsprobleme abdeckt, ist:

6.17.4.1

Administratoren sollten deshalb die vollständige Plugin-Version überprüfen. Eine Installation mit Version 6.17.4 muss weiterhin aktualisiert werden.

Wann ist die bekannte Angriffskette möglich?

Die dokumentierten Angriffsketten nutzen Kommentare auf Event-Seiten als möglichen Einstiegspunkt.

Dafür müssen Kommentare für Events aktiviert sein. Bei CVE-2026-78006 kann zudem eine WordPress-Moderations-URL verwendet werden, über die ein nicht authentifizierter Kommentator den eigenen noch nicht freigegebenen Kommentar anzeigen kann.

Dadurch kann präparierter Block-Inhalt den verwundbaren Verarbeitungspfad erreichen, bevor ein Administrator den Kommentar freigegeben hat.

Das vorübergehende Deaktivieren von Kommentaren auf Event-Seiten kann die bekannte Angriffsmethode einschränken. Dies ist jedoch kein Ersatz für das Sicherheitsupdate.

Werden die Schwachstellen aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung liegen Vservs keine ausreichend zuverlässigen Hinweise vor, um von einer großflächigen aktiven Ausnutzung von CVE-2026-78006 oder CVE-2026-78159 zu sprechen.

Die technischen Informationen zu beiden Schwachstellen sind jedoch öffentlich verfügbar. Aufgrund des CVSS-Scores von 9,8, des unauthentifizierten Angriffspfads und der großen Verbreitung von The Events Calendar sollten Administratoren das Update unverzüglich installieren.

Was sollten WordPress-Administratoren jetzt tun?

• Kontrollieren, ob The Events Calendar installiert ist.
• Die vollständige Versionsnummer überprüfen.
• Sofort auf Version 6.17.4.1 oder neuer aktualisieren.
• Auch verwandte Plugins aus dem The Events Calendar-Ökosystem aktualisieren.
• Kommentare auf Event-Seiten vorübergehend deaktivieren, wenn ein sofortiges Update nicht möglich ist.
• WordPress auf unbekannte Administratoraccounts überprüfen.
• Kürzlich installierte Plugins und Themes kontrollieren.
• Unerwartet veränderte PHP-Dateien untersuchen.

Kontrolle auf eine mögliche Kompromittierung

Eine verwundbare Plugin-Version bedeutet nicht automatisch, dass eine WordPress-Website kompromittiert wurde. Websites, die längere Zeit mit einer verwundbaren Version öffentlich erreichbar waren, sollten jedoch zusätzlich überprüft werden.

• unbekannte WordPress-Administratoren;
• unerwartete Änderungen von Administrator-Passwörtern;
• unbekannte oder kürzlich installierte Plugins;
• kürzlich veränderte PHP-Dateien;
• PHP-, PHTML- oder andere ausführbare Dateien unter wp-content/uploads;
• verdächtige Requests auf Event- und Kommentarfunktionen in den Webserver-Logs;
• unerwartete WordPress-Cronjobs oder serverseitige geplante Tasks;
• ungewöhnliche ausgehende Verbindungen der Website.

Werden unbekannte Administratoraccounts, manipulierte Dateien oder andere Hinweise auf eine Kompromittierung gefunden, reicht ein Update von The Events Calendar nicht aus. Die gesamte WordPress-Installation sollte dann als potenziell kompromittiert untersucht werden.

Vservs Managed WordPress

Bei Vservs Managed WordPress werden WordPress Core, Plugins und Themes technisch verwaltet. Dazu gehören unter anderem Security-Updates, Security-Hardening, Monitoring, Backups und technisches WordPress-Management.

Kritische Schwachstellen wie CVE-2026-78006 und CVE-2026-78159 zeigen, warum zeitnahe Plugin-Updates ein wesentlicher Bestandteil der WordPress-Sicherheit sind.

Quellen

• Wordfence – CVE-2026-78006
• Wordfence – CVE-2026-78159
• WordPress.org – The Events Calendar

Eine kritische LiteSpeed Enterprise Schwachstelle kann einem Hosting-Benutzer mit eingeschränkten Rechten ermöglichen, Root-Zugriff auf den gesamten Server zu erhalten. Betroffen sind LiteSpeed Web Server Enterprise-Versionen vor 6.3.7. Besonders kritisch ist die Sicherheitslücke auf Shared-Hosting-Servern, auf denen mehrere Kunden und Websites dasselbe System nutzen.

Über diese LiteSpeed Enterprise Schwachstelle kann ein Angreifer möglicherweise die Grenzen seines eigenen Hosting-Accounts verlassen und Mechanismen zur Account-Isolierung, darunter CageFS, umgehen. Eine erfolgreiche Rechteausweitung auf Root kann dadurch Auswirkungen auf andere Websites, Datenbanken und Dienste auf demselben Server haben.

Vservs empfiehlt Administratoren von LiteSpeed Web Server Enterprise, die exakt installierte Version sofort zu überprüfen und Installationen vor 6.3.7 unverzüglich zu aktualisieren.

Was ist das Sicherheitsproblem?

Bei der Schwachstelle handelt es sich um eine Privilege-Escalation-Sicherheitslücke in LiteSpeed Web Server Enterprise.

Ein Angreifer, der bereits über eingeschränkten Zugriff auf einen Website- oder Hosting-Account verfügt, kann die Schwachstelle möglicherweise nutzen, um seine Berechtigungen bis auf Root-Ebene zu erhöhen.

Root ist die höchste Berechtigungsstufe auf einem Linux-Server. Nach erfolgreicher Rechteausweitung können die Sicherheitsgrenzen zwischen einzelnen Hosting-Accounts nicht mehr als zuverlässig betrachtet werden.

CageFS-Isolierung kann umgangen werden

Nach Angaben von cPanel kann die Schwachstelle die erwartete Isolierung zwischen Hosting-Accounts umgehen.

Dies betrifft unter anderem CageFS, das insbesondere in CloudLinux-Umgebungen eingesetzt wird, um einzelne Hosting-Benutzer vom restlichen Server zu isolieren.

Ein kompromittierter oder böswilliger Hosting-Account könnte dadurch möglicherweise seine isolierte Umgebung verlassen und Zugriff auf Ressourcen anderer Kunden oder auf das zugrunde liegende Betriebssystem erhalten.

Welche LiteSpeed-Versionen sind betroffen?

Betroffen:

• LiteSpeed Web Server Enterprise-Versionen vor 6.3.7.

Behoben:

• LiteSpeed Web Server Enterprise 6.3.7 oder neuer.

Administratoren sollten die tatsächlich installierte LiteSpeed-Version kontrollieren und nicht davon ausgehen, dass Betriebssystem- oder Control-Panel-Updates automatisch auch den Webserver aktualisiert haben.

Was kann ein Angreifer erreichen?

Eine erfolgreiche Ausnutzung kann einem Angreifer unter anderem ermöglichen:

• Root-Rechte auf dem Linux-Server zu erhalten;
• die Grenzen des eigenen Hosting-Accounts zu verlassen;
• die CageFS-Isolierung zu umgehen;
• auf Dateien anderer Websites oder Kunden zuzugreifen;
• sensible Konfigurationsdateien zu lesen oder zu verändern;
• auf Datenbanken und Zugangsdaten zuzugreifen;
• Serverkonfigurationen zu verändern;
• Malware oder dauerhafte Backdoors zu installieren.

Auf einem Shared-Hosting-System können die Auswirkungen damit weit über den ursprünglich verwendeten Hosting-Account hinausgehen.

Wird die Schwachstelle aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung liegen Vservs keine zuverlässigen Hinweise auf eine großflächige aktive Ausnutzung dieser LiteSpeed Enterprise Schwachstelle vor.

Das Fehlen bestätigter Angriffe ist jedoch kein Grund, das Update aufzuschieben. Eine Privilege-Escalation-Schwachstelle, die Root-Zugriff auf einen Hosting-Server ermöglichen kann, stellt ein erhebliches Sicherheitsrisiko dar.

Was sollten Serveradministratoren jetzt tun?

• Kontrollieren, ob LiteSpeed Web Server Enterprise installiert ist.
• Das exakte Versionsnummer überprüfen.
• Alle Installationen vor 6.3.7 sofort aktualisieren.
• Kontrollieren, ob das Update erfolgreich abgeschlossen wurde.
• Hosting-Accounts mit Shell- oder anderem lokalem Zugriff überprüfen.
• Kürzlich geänderte Dateien und verdächtige Prozesse kontrollieren.
• Administrative SSH-Zugänge und authorized_keys überprüfen.

cPanel nennt für das direkte Update auf LiteSpeed 6.3.7 folgenden Befehl:

/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7

Kontrolle auf eine mögliche Kompromittierung

Eine verwundbare LiteSpeed-Version bedeutet nicht automatisch, dass ein Server kompromittiert wurde. Systeme, die mit einer verwundbaren Version erreichbar waren, können jedoch zusätzlich auf Anzeichen einer Privilege Escalation kontrolliert werden.

• unbekannte Prozesse, die als Root ausgeführt werden;
• unerwartete Änderungen unter /root;
• unbekannte Einträge in SSH-authorized_keys;
• neue oder unbekannte Systembenutzer;
• unerwartete Cronjobs;
• neue oder veränderte systemd-Services;
• unerwartete Setuid-Dateien;
• Dateiänderungen außerhalb der Grenzen einzelner Hosting-Accounts.

Werden Hinweise auf eine erfolgreiche Rechteausweitung gefunden, reicht die Installation des LiteSpeed-Updates nicht aus. Der gesamte Server sollte dann als potenziell kompromittiert untersucht werden.

Vservs Managed Hosting

Bei Vservs Managed VPS gehören Betriebssystem-Updates, Server-Hardening, Monitoring und technische Serververwaltung zum Managed Service.

Schwachstellen wie diese zeigen, dass für die Sicherheit einer Hosting-Umgebung nicht nur das CMS entscheidend ist. Auch Webserver, Control Panel und Betriebssystem müssen kontinuierlich aktuell gehalten werden.

Quellen

• cPanel – LiteSpeed Enterprise Security Advisory

CVE-2026-87886 ist eine schwerwiegende Privilege-Escalation-Schwachstelle in den Acronis Backup-Integrationen für cPanel & WHM und Plesk. Ein Angreifer, der bereits über eingeschränkten lokalen Zugriff auf einen verwundbaren Linux-Server verfügt, kann die Schwachstelle möglicherweise nutzen, um höhere Berechtigungen zu erhalten.

Die Schwachstelle wurde mit CVSS 7,8 (High) bewertet. Für die betroffenen Acronis-Integrationen stehen Sicherheitsupdates zur Verfügung.

Vservs empfiehlt Hosting-Providern und Serveradministratoren, die Acronis Backup mit cPanel oder Plesk einsetzen, die installierten Buildnummern zu kontrollieren und verfügbare Sicherheitsupdates unverzüglich zu installieren.

Was ist CVE-2026-87886?

CVE-2026-87886 ist eine lokale Privilege-Escalation-Schwachstelle in Acronis Backup-Integrationen für Hosting-Control-Panels.

Betroffen sind:

• Acronis Backup Plugin für cPanel & WHM;
• Acronis Backup Extension für Plesk.

Es handelt sich nicht um einen unauthentifizierten Remote-Angriff direkt aus dem Internet. Ein Angreifer benötigt zunächst eingeschränkten lokalen Zugriff auf den Linux-Server.

Ist diese Voraussetzung erfüllt, kann CVE-2026-87886 zur Ausweitung der vorhandenen Berechtigungen verwendet werden.

Welche Versionen sind betroffen?

Für das Acronis Backup Plugin für cPanel & WHM sind Builds vor:

1.9.3.1021

betroffen.

Für die Acronis Backup Extension für Plesk sind Builds vor:

1.8.11.638

betroffen.

Administratoren sollten die exakte Buildnummer kontrollieren und nicht ausschließlich die Hauptversionsnummer berücksichtigen.

Was kann ein Angreifer erreichen?

Bei erfolgreicher Ausnutzung kann ein Benutzer mit eingeschränkten Serverrechten seine Berechtigungen erweitern.

Mögliche Folgen sind:

• Zugriff auf sensible Serverdaten;
• Änderung von Dateien, auf die der Benutzer normalerweise keinen Zugriff hat;
• Manipulation der Serverkonfiguration;
• Beeinträchtigung von Diensten auf dem Server;
• weitere Kompromittierung des Linux-Systems;
• Einrichtung zusätzlicher Persistenzmechanismen mit erhöhten Rechten.

Wird CVE-2026-87886 aktiv ausgenutzt?

Für CVE-2026-87886 gibt es Hinweise auf eine mögliche begrenzte und gezielte Ausnutzung im Zusammenhang mit der Acronis Backup-Integration für cPanel & WHM.

Die derzeit verfügbaren Informationen reichen jedoch nicht aus, um von einer großflächigen Angriffskampagne zu sprechen.

Vservs empfiehlt deshalb eine zurückhaltende Bewertung der Exploit-Situation. Aufgrund der möglichen Privilege Escalation sollten betroffene Systeme unabhängig davon mit hoher Priorität aktualisiert werden.

Was sollten cPanel-Administratoren tun?

• Kontrollieren, ob das Acronis Backup Plugin installiert ist.
• Die exakte Buildnummer überprüfen.
• Builds vor 1.9.3.1021 sofort aktualisieren.
• Accounts mit Shell- oder anderem lokalen Serverzugriff überprüfen.
• Verdächtige Prozesse und unerwartete Rechteausweitungen untersuchen.
• Kürzlich vorgenommene Änderungen auf Systemebene kontrollieren.

Was sollten Plesk-Administratoren tun?

• Kontrollieren, ob die Acronis Backup Extension installiert ist.
• Die exakte Buildnummer überprüfen.
• Builds vor 1.8.11.638 sofort aktualisieren.
• Lokale Benutzer und kürzlich vorgenommene Systemänderungen kontrollieren.
• Unerklärliche Prozesse mit erhöhten Berechtigungen untersuchen.

Kontrolle auf eine mögliche Kompromittierung

Das Vorhandensein einer verwundbaren Acronis-Version bedeutet nicht automatisch, dass ein Server kompromittiert wurde.

Administratoren potenziell betroffener Systeme können unter anderem folgende Bereiche kontrollieren:

• unbekannte Prozesse mit erhöhten Berechtigungen;
• unerwartete Root-Prozesse;
• neue oder veränderte SSH-Keys;
• verdächtige Änderungen unter /etc;
• unbekannte Cronjobs;
• neue oder veränderte systemd-Services;
• unerwartete Änderungen an Systembenutzern;
• Dateien, die unerwartet mit Root-Eigentümerschaft erstellt oder verändert wurden.

Werden Hinweise auf eine erfolgreiche Privilege Escalation gefunden, sollte der Server als potenziell kompromittiert behandelt werden. Die Installation des Sicherheitsupdates allein ist dann nicht ausreichend, da ein Angreifer bereits zusätzliche Persistenzmechanismen eingerichtet haben könnte.

Vservs Managed Hosting

Bei Vservs Managed VPS gehören Betriebssystem-Sicherheit, Server-Updates, Hardening und Monitoring zur technischen Verwaltung des Servers.

CVE-2026-87886 zeigt, dass auch Backupsoftware und Integrationen mit Hosting-Control-Panels Teil der Sicherheitskette sind und zeitnah aktualisiert werden müssen.

Quellen

• Acronis Security Advisory Database
• Acronis – Security Update für das Backup Plugin für cPanel & WHM
• Acronis – Security Update für die Backup Extension für Plesk

Really Simple Security Sicherheitslücke: In dem beliebten WordPress-Plugin Really Simple Security, früher bekannt als Really Simple SSL, wurde eine Sicherheitslücke veröffentlicht, durch die die E-Mail-basierte Zwei-Faktor-Authentifizierung eines WordPress-Kontos umgangen werden kann.

Die Sicherheitslücke wird als CVE-2026-89080 geführt und hat einen CVSS-Score von 7.5 (High).

Really Simple Security ist laut WordPress.org auf mehr als 3 Millionen WordPress-Websites aktiv installiert.

Wichtig ist dabei eine klare Abgrenzung: CVE-2026-89080 ermöglicht es einem Angreifer nicht, das WordPress-Passwort selbst zu umgehen. Der Angreifer muss das gültige Passwort des betroffenen Benutzerkontos bereits kennen. Anschließend kann die Sicherheitslücke genutzt werden, um den zusätzlichen Schutz der E-Mail-basierten Zwei-Faktor-Authentifizierung zu umgehen.

Wenn das betroffene Konto Administratorrechte besitzt, kann eine erfolgreiche Ausnutzung letztlich zur vollständigen Übernahme der WordPress-Website führen.

Fakten zur Really Simple Security Sicherheitslücke

• Produkt: Really Simple Security
• Früherer Name: Really Simple SSL
• Plattform: WordPress
• Aktive Installationen: mehr als 3 Millionen
• CVE: CVE-2026-89080
• Schwachstellentyp: Improper Authentication / 2FA Bypass
• CWE: CWE-287
• Schweregrad: High
• CVSS: 7.5
• Betroffene Versionen: ab 9.5.10.1 bis vor 9.8.1
• Für CVE-2026-89080 gepatcht ab: 9.8.1
• Aktuelle empfohlene Version: 9.8.2 oder neuer
• Voraussetzung für einen Angriff: Der Angreifer muss das gültige Passwort des Zielkontos bereits kennen
• Mögliche Auswirkungen: Umgehung der E-Mail-2FA und Übernahme des betroffenen WordPress-Kontos
• Maximale Auswirkungen: vollständige WordPress-Kompromittierung bei einem betroffenen Administrator-Konto
• Exploit-Status: zum Zeitpunkt der Veröffentlichung keine bestätigte aktive Ausnutzung bekannt
• Erforderliche Maßnahme: Really Simple Security sofort auf die aktuelle Version aktualisieren

Was ist CVE-2026-89080?

Really Simple Security stellt verschiedene Sicherheitsfunktionen für WordPress bereit, darunter Login-Schutz, Hardening und Zwei-Faktor-Authentifizierung.

Bei der E-Mail-basierten 2FA muss ein Benutzer nach der Eingabe des regulären WordPress-Passworts eine zusätzliche Verifizierung durchführen. Dadurch sollte allein die Kenntnis des Passworts nicht ausreichen, um Zugriff auf ein geschütztes Benutzerkonto zu erhalten.

CVE-2026-89080 betrifft genau diese zusätzliche Sicherheitsebene.

Bei verwundbaren Versionen kann der Status einer bereits abgeschlossenen E-Mail-2FA-Registrierung unter bestimmten Bedingungen zurückgesetzt werden.

Ein Angreifer, der das Passwort des betreffenden Benutzerkontos bereits kennt, kann dadurch die zweite Authentifizierungsstufe umgehen und anschließend Zugriff auf das WordPress-Konto erhalten.

Keine passwortlose Administrator-Übernahme

Die Auswirkungen von CVE-2026-89080 müssen korrekt eingeordnet werden.

Die Sicherheitslücke ermöglicht es einem beliebigen Angreifer nicht, sich ohne gültige Zugangsdaten direkt bei WordPress anzumelden. Auch das eigentliche WordPress-Passwort wird durch die Schwachstelle nicht offengelegt oder umgangen.

Für eine erfolgreiche Kontoübernahme muss der Angreifer das korrekte Passwort des betroffenen WordPress-Benutzers bereits besitzen.

Ein solches Passwort kann beispielsweise zuvor durch Phishing, Credential Stuffing, Schadsoftware auf einem Arbeitsplatzrechner, Wiederverwendung von Passwörtern oder ein separates Datenleck kompromittiert worden sein.

Die Zwei-Faktor-Authentifizierung soll ein Konto gerade in einer solchen Situation zusätzlich schützen. CVE-2026-89080 kann diese zusätzliche Schutzschicht unter bestimmten Umständen umgehen.

Administrator-Konten stellen das größte Risiko dar

Wenn ein Angreifer über die Really Simple Security Sicherheitslücke Zugriff auf ein WordPress-Administrator-Konto erhält, können die Auswirkungen erheblich sein.

Abhängig von der WordPress- und Serverkonfiguration kann ein Administrator unter anderem:

• weitere Administrator-Konten erstellen;
• bestehende Benutzerkonten verändern;
• Plugins installieren und aktivieren;
• Themes verändern;
• Website-Inhalte manipulieren;
• schädlichen JavaScript-Code oder Weiterleitungen einfügen;
• auf WooCommerce-Daten zugreifen, wenn WooCommerce installiert ist;
• Sicherheitsplugins deaktivieren;
• Malware oder Phishing-Seiten veröffentlichen;
• möglicherweise PHP-Code über WordPress ausführen.

Eine erfolgreiche Übernahme eines Administrator-Kontos sollte daher als mögliche vollständige Kompromittierung der WordPress-Installation behandelt werden.

Mehr als 3 Millionen aktive Installationen

Really Simple Security gehört zu den am weitesten verbreiteten Sicherheitsplugins für WordPress.

WordPress.org meldet aktuell mehr als 3 Millionen aktive Installationen.

Die große Verbreitung macht CVE-2026-89080 besonders relevant, auch wenn eine erfolgreiche Kontoübernahme voraussetzt, dass der Angreifer das Passwort des Zielkontos bereits kennt.

Really Simple Security sofort aktualisieren

Die von CVE-2026-89080 betroffene Versionsreihe beginnt bei 9.5.10.1 und umfasst alle Versionen vor 9.8.1.

Die konkrete Sicherheitslücke wurde mit:

Really Simple Security 9.8.1

geschlossen.

Version 9.8.1 wurde am 1. September 2026 veröffentlicht und enthält mehrere relevante Sicherheitsänderungen an der Authentifizierungs- und 2FA-Funktionalität.

Inzwischen wurde am 14. September 2026 zusätzlich Really Simple Security 9.8.2 veröffentlicht. Diese Version enthält eine weitere 2FA-Sicherheitsverbesserung und verhindert unter anderem, dass Benutzer, für die 2FA verpflichtend ist, ihre eigene 2FA-Grace-Period verlängern können.

Vservs empfiehlt daher, nicht lediglich auf 9.8.1, sondern direkt auf die aktuellste verfügbare Version 9.8.2 oder neuer zu aktualisieren.

Installierte Plugin-Version überprüfen

Administratoren mit WP-CLI-Zugriff können die installierte Plugin-Version beispielsweise mit folgendem Befehl überprüfen:

wp plugin list --name=really-simple-ssl --fields=name,status,version,update

Installieren Sie die aktuellste stabile Version des Plugins.

Überprüfen Sie nach dem Update auch tatsächlich, ob die neue Version aktiv ist. Verlassen Sie sich nicht ausschließlich darauf, dass ein geplantes oder automatisches WordPress-Update erfolgreich durchgeführt wurde.

Konten mit aktivierter 2FA überprüfen

Da CVE-2026-89080 den Status der E-Mail-basierten Zwei-Faktor-Authentifizierung betrifft, sollten Administratoren nach dem Update kontrollieren, ob 2FA bei allen Konten, für die diese Sicherheitsfunktion erforderlich ist, weiterhin korrekt aktiviert ist.

Kontrollieren Sie insbesondere:

• Administrator-Konten;
• Konten mit erweiterten Berechtigungen;
• Konten, deren 2FA-Status unerwartet geändert wurde;
• Benutzer, die ohne bekannten Grund erneut zur Einrichtung von 2FA aufgefordert wurden;
• Konten, bei denen 2FA unerwartet nicht mehr aktiv ist.

WordPress-Administrator-Konten überprüfen

Überprüfen Sie außerdem, ob alle vorhandenen WordPress-Administrator-Konten bekannt und weiterhin erforderlich sind.

Mit WP-CLI kann dies beispielsweise mit folgendem Befehl erfolgen:

wp user list --role=administrator

Untersuchen Sie unbekannte Benutzer, unerwartet geänderte E-Mail-Adressen und Konten, die kürzlich Administratorrechte erhalten haben.

Verdächtige Login-Aktivitäten überprüfen

Wenn Authentifizierungs- oder Login-Protokolle verfügbar sind, sollten diese für den Zeitraum überprüft werden, in dem eine verwundbare Version von Really Simple Security installiert war.

Achten Sie insbesondere auf:

• erfolgreiche Administrator-Anmeldungen von unbekannten IP-Adressen;
• Anmeldungen aus unerwarteten Ländern oder Netzwerken;
• eine erfolgreiche Anmeldung unmittelbar nach mehreren fehlgeschlagenen Versuchen;
• unerwartete Änderungen an den 2FA-Einstellungen;
• neue Sitzungen für Benutzerkonten, deren Besitzer sich selbst nicht angemeldet haben;
• Änderungen an Benutzerprofilen kurz nach verdächtigen Anmeldeaktivitäten.

Eine ungewöhnliche Anmeldung ist nicht automatisch ein Beweis dafür, dass CVE-2026-89080 ausgenutzt wurde, sollte jedoch untersucht werden.

Auf Folgeaktivitäten nach einer Kontoübernahme prüfen

Wenn Hinweise darauf bestehen, dass ein Administrator-Konto übernommen wurde, reicht eine Änderung des Passworts allein nicht aus.

Kontrollieren Sie die WordPress-Installation unter anderem auf:

• kürzlich installierte oder unbekannte Plugins;
• unbekannte Administrator-Konten;
• unerwartete Dateien in wp-content/mu-plugins/;
• kürzlich veränderte PHP-Dateien;
• PHP-Dateien innerhalb von wp-content/uploads/;
• unerwartete Änderungen an Themes;
• Änderungen an wp-config.php;
• unbekannte WordPress-Cron-Ereignisse;
• unerwartete Weiterleitungen oder JavaScript-Code;
• ungewöhnlichen ausgehenden E-Mail-Verkehr.

WordPress-Core-Dateien überprüfen

Mit WP-CLI können die offiziellen WordPress-Core-Prüfsummen kontrolliert werden:

wp core verify-checksums

Unerwartete Änderungen sollten untersucht werden.

Eine veränderte Core-Datei ist nicht automatisch ein Beweis für die Ausnutzung von CVE-2026-89080, kann jedoch auf Folgeaktivitäten nach der Übernahme eines Administrator-Kontos hinweisen.

Aktive WordPress-Sitzungen beenden

Wenn konkrete Hinweise auf eine Kontoübernahme bestehen, reicht es nicht aus, ausschließlich das Passwort zu ändern.

Beenden Sie auch bestehende WordPress-Sitzungen des betroffenen Benutzerkontos, damit bereits erlangte Sitzungen eines Angreifers nicht aktiv bleiben.

Überprüfen Sie anschließend erneut die 2FA-Konfiguration und richten Sie den zweiten Faktor neu ein, wenn dessen Integrität nicht mehr gewährleistet werden kann.

Passwörter bei Verdacht auf Kompromittierung ändern

Eine erfolgreiche Ausnutzung von CVE-2026-89080 setzt voraus, dass der Angreifer das korrekte Passwort des Benutzerkontos kennt.

Wenn der Verdacht besteht, dass ein Konto über diese Sicherheitslücke übernommen wurde, muss das Passwort daher als einer dritten Partei bekannt betrachtet werden.

Verwenden Sie ein neues und einzigartiges Passwort, das nicht für andere Websites oder Dienste eingesetzt wird.

Wenn dasselbe Passwort an anderer Stelle verwendet wurde, ändern Sie es auch dort.

Keine bestätigte aktive Ausnutzung

Zum Zeitpunkt der Veröffentlichung liegen Vservs keine ausreichend zuverlässigen Informationen vor, die bestätigen, dass CVE-2026-89080 aktiv in freier Wildbahn ausgenutzt wird.

Wir bezeichnen diese Sicherheitslücke daher ausdrücklich nicht als aktiv ausgenutzt.

Die Kombination aus mehr als 3 Millionen aktiven Installationen, der Möglichkeit zur Umgehung einer wichtigen zweiten Authentifizierungsstufe und der möglichen Übernahme von Administrator-Konten macht eine schnelle Aktualisierung dennoch erforderlich.

Keine universellen Indicators of Compromise bekannt

Zum Zeitpunkt der Veröffentlichung sind keine zuverlässigen universellen IP-Adressen, Malware-Hashes, Dateinamen oder anderen Indicators of Compromise bekannt, die eindeutig der Ausnutzung von CVE-2026-89080 zugeordnet werden können.

Vservs veröffentlicht daher keine spekulativen IoCs.

Die wichtigsten Kontrollpunkte sind der 2FA-Status der Benutzer, Administrator-Konten, Authentifizierungsprotokolle, aktive Sitzungen und nachfolgende Änderungen innerhalb von WordPress.

Ein Update allein reicht nach einer erfolgreichen Kontoübernahme nicht aus

Die Installation einer gepatchten Version schließt die bekannte Sicherheitslücke, macht jedoch Änderungen, die ein Angreifer bereits zuvor vorgenommen hat, nicht automatisch rückgängig.

Wenn konkrete Hinweise auf einen unbefugten Administrator-Zugriff vorliegen, sollte die WordPress-Installation als möglicherweise kompromittiert behandelt werden.

Untersuchen Sie in diesem Fall die vollständige Installation und ändern Sie relevante WordPress-Passwörter, aktive Sitzungen, WordPress-Salts, API-Keys und andere Secrets, wenn diese während des unbefugten Zugriffs erreichbar gewesen sein könnten.

Verantwortung für WordPress-Sicherheitsupdates

Kunden ohne Managed WordPress/CMS-Wartung oder einen separat vereinbarten Managed-CMS-Service sind selbst dafür verantwortlich, WordPress, WooCommerce, andere CMS-Systeme, Plugins, Erweiterungen und Themes rechtzeitig zu aktualisieren.

Wenn eine Website oder ein Dienst durch Missbrauch, Malware oder nachweislich überfällige Wartung ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betroffene Website oder den betroffenen Dienst vorübergehend isolieren oder deaktivieren.

Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weitere Schäden, Missbrauch oder Beeinträchtigungen unserer Infrastruktur und Dienste zu verhindern.

Wiederherstellungsarbeiten an nicht verwalteten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen hängen von der Schwere des Vorfalls und der verfügbaren Kapazität ab. Wenn kein sofortiges Eingreifen erforderlich ist, können die Wiederherstellungsarbeiten ab dem nächsten Werktag durchgeführt werden.

Managed WordPress von Vservs

Ein Sicherheitsplugin ersetzt keine strukturierte WordPress-Wartung. Auch Software, die selbst Sicherheitsfunktionen wie 2FA, Hardening und Schwachstellenerkennung bereitstellt, kann Sicherheitslücken enthalten und muss daher rechtzeitig aktualisiert werden.

Mit Vservs Managed WordPress übernehmen wir unter anderem die technische WordPress-Verwaltung, Core-, Plugin- und Theme-Updates, Security Hardening, Monitoring, Backups und Unterstützung bei Sicherheitsvorfällen.

Quellen

• WordPress.org – Really Simple Security
• WPScan – Really Simple Security Sicherheitslücken
• NIST NVD – CVE-2026-89080