Neue kritische GiveWP Sicherheitslücke CVE-2026-97196 ermöglicht Authentifizierungs-Bypass
Die GiveWP Sicherheitslücke CVE-2026-97196 ermöglicht es einem nicht authentifizierten Angreifer, die Authentifizierung des beliebten WordPress-Spenden-Plugins zu umgehen. Die Schwachstelle betrifft GiveWP bis einschließlich Version 4.16.9 und wurde mit GiveWP 4.17.0 behoben. Patchstack bewertet die Sicherheitslücke mit einem CVSS-Score von 9,1.
Die GiveWP Sicherheitslücke ist besonders relevant, weil GiveWP auf mehr als 100.000 WordPress-Websites aktiv ist. Laut Patchstack ist kein bestehendes WordPress-Benutzerkonto erforderlich, um die verwundbare Funktion zu erreichen.
Es handelt sich um eine andere Sicherheitslücke als CVE-2026-85113, über die Vservs bereits berichtet hat. Diese Unterscheidung ist wichtig: GiveWP 4.16.9 war die abgesicherte Version für die frühere Schwachstelle, ist durch CVE-2026-97196 nun jedoch selbst verwundbar. Websites müssen deshalb erneut auf GiveWP 4.17.0 oder neuer aktualisiert werden.
Was ist die GiveWP Sicherheitslücke CVE-2026-97196?
CVE-2026-97196 ist eine Broken-Authentication-Schwachstelle in GiveWP. Laut Patchstack kann die Schwachstelle einem Angreifer ermöglichen, die normale Anmeldekontrolle zu umgehen oder sich unter den verwundbaren Bedingungen als ein anderer Benutzer zu authentifizieren, ohne dessen Passwort zu kennen.
Die veröffentlichten CVSS-Informationen zeigen, dass die Schwachstelle über das Netzwerk erreichbar ist und kein bereits authentifiziertes WordPress-Benutzerkonto voraussetzt.
- CVE: CVE-2026-97196
- Software: GiveWP – Donation Plugin and Fundraising Platform
- Typ: Broken Authentication
- CVSS: 9,1
- Authentifizierung erforderlich: Nein
- Betroffene Versionen: GiveWP 4.16.9 und älter
- Abgesicherte Version: GiveWP 4.17.0 oder neuer
- Aktive Installationen: mehr als 100.000
Die tatsächlichen Auswirkungen hängen davon ab, auf welches Benutzerkonto ein Angreifer Zugriff erlangen kann und welche Berechtigungen diesem Konto zugewiesen sind. Es wäre deshalb nicht korrekt zu behaupten, dass jede erfolgreiche Ausnutzung automatisch Administratorrechte ermöglicht.
Welche GiveWP-Versionen sind verwundbar?
Die GiveWP Sicherheitslücke betrifft folgende Versionen:
- GiveWP 4.16.9 und älter – verwundbar
- GiveWP 4.17.0 oder neuer – Sicherheitskorrektur vorhanden
WordPress.org führt GiveWP 4.17.0 derzeit als verfügbare Version. Administratoren, die noch 4.16.9 oder eine ältere Version einsetzen, sollten deshalb erneut aktualisieren.
Warum gibt es erneut eine GiveWP-Sicherheitswarnung?
Vservs hat bereits über CVE-2026-85113 in GiveWP berichtet. Für diese frühere Schwachstelle bestand die empfohlene Maßnahme darin, auf GiveWP 4.16.9 zu aktualisieren.
CVE-2026-97196 ist eine davon unabhängige und später veröffentlichte Schwachstelle. GiveWP 4.16.9 kann deshalb nicht mehr als ausreichend abgesichert betrachtet werden.
Wer GiveWP aufgrund der vorherigen Sicherheitswarnung bereits auf Version 4.16.9 aktualisiert hat, muss jetzt erneut auf GiveWP 4.17.0 oder neuer aktualisieren.
Dies ist insbesondere für Administratoren wichtig, die das vorherige Sicherheitsupdate korrekt installiert haben und deshalb möglicherweise davon ausgehen, dass ihre GiveWP-Installation weiterhin vollständig geschützt ist.
Was kann ein Angreifer mit der GiveWP Sicherheitslücke erreichen?
Ein erfolgreicher Authentifizierungs-Bypass kann einem Angreifer nicht autorisierten Zugriff auf ein bestehendes WordPress-Benutzerkonto ermöglichen.
Die praktischen Auswirkungen hängen von den Berechtigungen dieses Kontos ab. Der Zugriff auf ein Benutzerkonto mit niedrigen Rechten hat andere Folgen als der Zugriff auf ein Administrator- oder anderes privilegiertes Konto.
Abhängig vom betroffenen Benutzerkonto kann ein Angreifer möglicherweise Zugriff erhalten auf:
- WordPress-Funktionen, die für den betroffenen Benutzer verfügbar sind;
- GiveWP-Spender- und Spendenfunktionen, auf die das Konto zugreifen darf;
- Kontoeinstellungen und Profilinformationen;
- administrative Funktionen, wenn ein privilegiertes Konto betroffen ist;
- weitere Funktionen, die von installierten WordPress-Plugins bereitgestellt werden.
Der Authentifizierungs-Bypass selbst darf nicht mit einer direkten Remote-Code-Execution-Schwachstelle verwechselt werden. Patchstack klassifiziert CVE-2026-97196 als Broken Authentication und nicht als eigenständige RCE.
Erhält ein Angreifer automatisch Administratorrechte?
Nein. Die derzeit verfügbaren Informationen rechtfertigen nicht die Aussage, dass jede erfolgreiche Ausnutzung automatisch Zugriff auf ein WordPress-Administratorkonto ermöglicht.
Die Folgen hängen davon ab, welche Benutzeridentität übernommen werden kann und welche Berechtigungen dieses Konto besitzt.
Kann ein hoch privilegiertes Konto übernommen werden, können die weiteren Auswirkungen selbstverständlich erheblich sein. Ein WordPress-Administrator kann normalerweise Plugins installieren, Website-Funktionen verändern, Benutzer verwalten und weitere sensible Aktionen durchführen.
Vservs behandelt die Schwachstelle deshalb als kritisches Authentifizierungsproblem, ohne eine garantierte Administratorübernahme zu behaupten.
Wird CVE-2026-97196 aktiv ausgenutzt?
Zum Zeitpunkt dieser Veröffentlichung hat Vservs keine zuverlässige öffentliche Bestätigung dafür gefunden, dass CVE-2026-97196 aktiv in freier Wildbahn ausgenutzt wird.
Patchstack stuft die Schwachstelle als Problem mit hoher Priorität ein und weist darauf hin, dass Schwachstellen dieses Typs für automatisierte Angriffe interessant sein können.
Die Erwartung einer möglichen zukünftigen Ausnutzung ist jedoch nicht mit einem Nachweis tatsächlich beobachteter Angriffe gleichzusetzen.
Vservs empfiehlt aufgrund der hohen Severity, der fehlenden Authentifizierung und der großen Installationsbasis ein sofortiges Update. CVE-2026-97196 wird derzeit jedoch nicht als nachweislich aktiv ausgenutzte Schwachstelle bezeichnet.
Was sollten WordPress-Administratoren jetzt tun?
- Die aktuell installierte GiveWP-Version kontrollieren.
- GiveWP auf Version 4.17.0 oder neuer aktualisieren.
- Nicht davon ausgehen, dass GiveWP 4.16.9 weiterhin ausreichend abgesichert ist.
- Kontrollieren, ob das Update erfolgreich abgeschlossen wurde.
- Nach dem Update Spendenformulare und Zahlungsabläufe testen.
- WordPress-Benutzerkonten auf unbekannte oder unerwartete Änderungen überprüfen.
- Sofern entsprechende Logs vorhanden sind, aktuelle Login- und Administratoraktivitäten kontrollieren.
- Nicht mehr verwendete WordPress-Benutzerkonten entfernen und Berechtigungen nach dem Least-Privilege-Prinzip einschränken.
Kann das Sicherheitsupdate nicht sofort installiert werden, kann GiveWP vorübergehend deaktiviert werden, um den verwundbaren Plugin-Code aus der aktiven WordPress-Umgebung zu entfernen. Dabei müssen selbstverständlich die Auswirkungen auf aktive Spendenformulare und Zahlungsprozesse berücksichtigt werden.
Website auf eine mögliche Kompromittierung prüfen
Da die GiveWP Sicherheitslücke die Authentifizierung betrifft, sollten Administratoren insbesondere auf Hinweise für nicht autorisierte angemeldete Sitzungen und anschließende WordPress-Aktivitäten achten.
Kontrollieren Sie insbesondere:
- unbekannte WordPress-Administratoren oder andere Benutzerkonten;
- unerwartete Änderungen an bestehenden Benutzerrollen;
- unerwartete Änderungen von Passwörtern oder E-Mail-Adressen;
- Login-Aktivitäten von unbekannten IP-Adressen;
- unerwartete Änderungen an GiveWP-Einstellungen;
- nicht erklärte Änderungen an Spenden- oder Zahlungseinstellungen;
- neue Plugins oder Themes, die nicht durch einen Administrator installiert wurden;
- unerwartete Änderungen an WordPress-Dateien oder der Konfiguration;
- administrative Aktivitäten, die keinem bekannten Administrator zugeordnet werden können.
Ein ungewöhnlicher Login oder eine Konfigurationsänderung allein beweist noch keine erfolgreiche Ausnutzung von CVE-2026-97196. Verdächtige Ereignisse sollten mit Webserver-Logs, WordPress-Aktivitätslogs, Benutzersitzungen und Dateisystem-Zeitstempeln abgeglichen werden.
Was tun, wenn nicht autorisierter Zugriff festgestellt wird?
Werden Hinweise auf einen nicht autorisierten Zugriff auf ein privilegiertes WordPress-Konto gefunden, reicht ein einfaches Update von GiveWP nicht mehr aus.
Ein Angreifer mit erweiterten WordPress-Berechtigungen kann bereits ein Plugin installiert, ein Theme verändert, ein weiteres Administratorkonto erstellt oder persistenten PHP-Code an anderer Stelle der Website hinterlegt haben.
Die WordPress-Installation sollte deshalb als potenziell kompromittiert behandelt werden. WordPress Core, Plugins, Themes, Must-Use-Plugins, Benutzerkonten, geplante Aufgaben und relevante Server-Logs sollten kontrolliert werden.
Zugangsdaten, auf die über das kompromittierte Konto zugegriffen werden konnte, sollten ebenfalls überprüft und nach Wiederherstellung der Integrität gegebenenfalls geändert werden.
GiveWP hat mehrere Sicherheitsupdates erhalten
CVE-2026-97196 ist nicht das einzige Sicherheitsproblem, das zuletzt in GiveWP behoben wurde. Das Plugin hat innerhalb kurzer Zeit mehrere Sicherheitsupdates erhalten.
Deshalb ist es besonders wichtig, die aktuelle unterstützte GiveWP-Version einzusetzen und nicht lediglich auf die Mindestversion zu aktualisieren, die in einer älteren Sicherheitswarnung genannt wurde.
GiveWP 4.17.0 enthält laut dem offiziellen Changelog auf WordPress.org außerdem weitere Sicherheitsverbesserungen.
Managed WordPress und Managed VPS bei Vservs
Aktuelle WordPress-Core-, Plugin- und Theme-Versionen sind ein wichtiger Bestandteil der Absicherung einer WordPress-Website.
Mit Vservs Managed WordPress übernehmen wir unter anderem die technische WordPress-Verwaltung, Sicherheitsupdates, Hardening, Malware-Kontrollen, Backups und Monitoring.
Für Websites und Anwendungen, die eine eigene isolierte Serverumgebung benötigen, bietet Vservs außerdem Managed VPS. Dazu gehören unter anderem technische Serververwaltung, relevante Betriebssystem- und Sicherheitsupdates, Monitoring und Server-Hardening.
Bei Unmanaged Hosting und Unmanaged VPS-Servern bleibt die Kontrolle und Installation von WordPress-, Plugin-, Theme- und Server-Sicherheitsupdates in der Verantwortung des Administrators.
Zusammenfassung
- Schwachstelle: CVE-2026-97196
- Software: GiveWP – Donation Plugin and Fundraising Platform
- Typ: Broken Authentication
- CVSS: 9,1
- Authentifizierung erforderlich: Nein
- Betroffene Versionen: GiveWP 4.16.9 und älter
- Abgesicherte Version: GiveWP 4.17.0 oder neuer
- Aktive Installationen: mehr als 100.000
- Aktive Ausnutzung: zum Zeitpunkt der Veröffentlichung nicht zuverlässig bestätigt
- Empfehlung: sofort auf GiveWP 4.17.0 oder neuer aktualisieren