Kritische Paytium-Sicherheitslücke ermöglicht vollständige WordPress-Übernahme ohne Login

Die Paytium Sicherheitslücke CVE-2026-18467 kann es einem externen Angreifer unter den dokumentierten Voraussetzungen ermöglichen, über das WordPress-Plugin Paytium: Mollie payment forms & donations ohne bestehendes WordPress-Konto Administratorrechte zu erlangen.

Die Sicherheitslücke wird als CVE-2026-18467 geführt und hat einen CVSS-Score von 9.8 (Critical).

Paytium wird eingesetzt, um Zahlungen und Spenden über WordPress mit Mollie abzuwickeln. Unterstützt werden unter anderem iDEAL/Wero, Bancontact, PayPal und SEPA. Laut WordPress.org verfügt das Plugin derzeit über mehr als 2.000 aktive Installationen.

Alle Paytium-Versionen bis einschließlich 5.0.3 sind betroffen. Die vollständige Sicherheitskorrektur steht ab Paytium 5.0.4 zur Verfügung. Inzwischen ist Version 5.0.5 verfügbar.

Fakten zur Paytium Sicherheitslücke CVE-2026-18467

• Betroffenes Produkt: Paytium: Mollie payment forms & donations für WordPress
• CVE: CVE-2026-18467
• Schweregrad: Critical
• CVSS: 9.8
• Art der Sicherheitslücke: unauthenticated privilege escalation
• CWE: CWE-269 – Improper Privilege Management
• Betroffene Versionen: alle Versionen bis einschließlich 5.0.3
• Erste vollständig gepatchte Version: 5.0.4
• Aktuelle Version: 5.0.5
• Authentifizierung erforderlich: nein
• Benutzerinteraktion erforderlich: nein
• Voraussetzung für einen Angriff: ein öffentlich erreichbares Paytium-Zahlungsformular, über das der Angreifer den erforderlichen Zahlungsvorgang abschließen kann
• Mögliche Auswirkungen: Erstellung eines WordPress-Administrator-Kontos und vollständige Übernahme der Website
• Exploit-Status: zum Zeitpunkt der Veröffentlichung keine zuverlässige Bestätigung einer aktiven Ausnutzung in freier Wildbahn gefunden
• Erforderliche Maßnahme: sofort auf mindestens Paytium 5.0.4 und vorzugsweise auf die aktuelle Version 5.0.5 aktualisieren

Was ist Paytium?

Paytium ist ein WordPress-Plugin, mit dem Websites Zahlungs- und Spendenformulare bereitstellen können.

Das Plugin verwendet Mollie als Payment Service Provider und unterstützt unter anderem iDEAL/Wero, Kreditkarten, Bancontact, PayPal, SEPA sowie wiederkehrende Zahlungen.

Paytium kann außerdem über Zahlungsformulare übermittelte Daten verwenden, um WordPress-Benutzer anzulegen und Benutzerdaten zu speichern.

Genau diese Funktionalität spielt bei CVE-2026-18467 eine wichtige Rolle.

Angreifer können die WordPress-Benutzerrolle beeinflussen

Die Paytium Sicherheitslücke befindet sich in der Verarbeitung von Formulardaten, die letztlich beim Anlegen eines WordPress-Benutzers verwendet werden.

Paytium verwendet dabei unter anderem den Wert:

pt-user-role

Dieser Wert bestimmt, welche WordPress-Rolle einem neu angelegten Benutzerkonto zugewiesen wird.

Bei einer sicheren Verarbeitung darf ein Besucher selbstverständlich nicht selbst festlegen können, dass ein neu angelegtes Konto beispielsweise die Rolle administrator erhält.

CVE-2026-18467 kann es einem externen Angreifer jedoch ermöglichen, diese Sicherheitsgrenze zu umgehen.

Paytium 5.0.3 war noch nicht ausreichend geschützt

Ein wichtiges Detail ist, dass Paytium 5.0.3 bereits eine Sicherheitsänderung gegen eine Privilege Escalation über einen versteckten Rollenparameter enthielt.

Dabei wurde für das Feld pt-paytium-user-data eine Integritätsprüfung mit den WordPress-Funktionen wp_hash() und hash_equals() hinzugefügt.

Die Sicherheitsanalyse zeigt jedoch, dass ein weiterer Verarbeitungsweg vorhanden war, über den diese Schutzmaßnahme umgangen werden konnte.

Die Funktion pt_cf_checkout_meta() ist mit dem Hook pt_meta_values verbunden und verarbeitet Formularwerte aus:

$_POST['pt_form_field']

Diese Werte konnten ohne dieselbe Signaturprüfung zu den Zahlungsmetadaten hinzugefügt werden.

pt-user-role kann den geschützten Wert überschreiben

Ein Angreifer kann dadurch einen manipulierten Wert für:

pt_form_field[pt-user-role]

übermitteln.

Dieser Wert kann die zuvor geschützte Benutzerrolle überschreiben.

Wenn Paytium anschließend den WordPress-Benutzer anlegt, liest die Funktion paytium_user_data_processing() die gespeicherten _pt-user-role-Metadaten und verwendet diesen Wert letztlich beim Aufruf von wp_insert_user().

Dadurch kann ein Angreifer seinem eigenen Benutzerkonto die WordPress-Rolle Administrator zuweisen.

Kein bestehendes WordPress-Konto erforderlich

Die Paytium Sicherheitslücke ist besonders kritisch, weil ein Angreifer zuvor kein WordPress-Benutzerkonto benötigt.

Der veröffentlichte CVSS-Vektor nennt:

• Attack Vector: Network
• Attack Complexity: Low
• Privileges Required: None
• User Interaction: None

Eine Website mit einem öffentlich erreichbaren Paytium-Formular kann somit direkt über das Internet angegriffen werden, sofern die weiteren Voraussetzungen für eine erfolgreiche Ausnutzung erfüllt sind.

Der Zahlungsvorgang muss abgeschlossen werden

Für den dokumentierten Angriff ist ein öffentlich erreichbares Paytium-Shortcode-Formular erforderlich.

Der Angreifer muss über dieses Formular eine Zahlung absenden und den daraus entstehenden Zahlungsvorgang abschließen.

Die Sicherheitslücke lässt sich daher nicht einfach über jede beliebige HTTP-Anfrage ausnutzen.

Das reduziert das Risiko für Websites, die Paytium bestimmungsgemäß für öffentlich zugängliche Zahlungs-, Bestell- oder Spendenformulare einsetzen, jedoch nur begrenzt.

Vollständige WordPress-Übernahme möglich

Bei einer erfolgreichen Ausnutzung kann ein neues WordPress-Konto mit Administratorrechten angelegt werden.

Damit erhält ein Angreifer grundsätzlich vollständige administrative Kontrolle über WordPress.

Abhängig von der Konfiguration der Website kann ein WordPress-Administrator unter anderem:

• Plugins installieren und aktivieren;
• Themes installieren oder verändern;
• weitere Benutzer und Administratoren anlegen;
• bestehende Benutzerkonten verändern;
• Website-Inhalte manipulieren;
• WordPress-Einstellungen ändern;
• auf Daten aus WordPress und installierten Plugins zugreifen;
• Malware oder eine dauerhafte Backdoor installieren;
• schädlichen PHP-Code in die Website einbringen.

Eine erfolgreiche Privilege Escalation sollte daher als mögliche vollständige Kompromittierung der Website behandelt werden.

Sofort auf Paytium 5.0.5 aktualisieren

Der Hersteller hat die Sicherheitslücke mit Paytium 5.0.4 behoben.

Im offiziellen WordPress.org-Changelog wird für Version 5.0.4 ausdrücklich angegeben, dass die Version einen Patch für kritische Privilege-Escalation-Sicherheitslücken enthält, die von nicht authentifizierten Benutzern ausgenutzt werden können.

Der Hersteller nennt dabei ausdrücklich auch die Korrektur der unauthenticated privilege escalation über den Parameter pt_form_field[pt-user-role].

Inzwischen steht Paytium 5.0.5 zur Verfügung.

Vservs empfiehlt daher, nicht auf Version 5.0.4 zu verbleiben, wenn ohne Kompatibilitätsprobleme auf die aktuelle Version aktualisiert werden kann.

1. Prüfen Sie, ob Paytium auf der Website installiert ist.
2. Kontrollieren Sie die vollständig installierte Versionsnummer.
3. Aktualisieren Sie jede Installation mit Version 5.0.3 oder älter sofort.
4. Installieren Sie vorzugsweise Paytium 5.0.5 oder eine neuere unterstützte Version.
5. Testen Sie nach dem Update alle verwendeten Zahlungs- und Spendenformulare.
6. Überprüfen Sie auch wiederkehrende Zahlungen und eine eventuell verwendete Benutzerregistrierung.

Temporäre Maßnahme, wenn ein sofortiges Update nicht möglich ist

Wenn das Update aus einem nachweisbaren technischen Grund nicht unmittelbar durchgeführt werden kann, ist das Deaktivieren von Paytium oder das Sperren der betroffenen öffentlichen Paytium-Formulare die sicherste temporäre Maßnahme.

Da die Sicherheitslücke über die Formular- und Zahlungsverarbeitung erreichbar ist, sollte verhindert werden, dass unbekannte Besucher den anfälligen Ablauf starten können.

Dies ist ausschließlich eine vorübergehende Sicherheitsmaßnahme. Die dauerhafte Lösung bleibt die Installation von Paytium 5.0.4 oder neuer.

WordPress-Administrator-Konten überprüfen

Websites, auf denen Paytium 5.0.3 oder älter mit öffentlich erreichbaren Zahlungsformularen betrieben wurde, sollten zusätzlich auf unerwartete Benutzerkonten überprüft werden.

Kontrollieren Sie mindestens:

• alle Konten mit der Rolle Administrator;
• kürzlich angelegte WordPress-Benutzer;
• Konten mit unbekannten E-Mail-Adressen;
• Konten mit Namen, die legitimen Administratoren ähneln;
• unerwartete Rollenänderungen bestehender Benutzer;
• Konten, die zeitlich im Zusammenhang mit unbekannten Paytium-Zahlungen angelegt wurden.

Verlassen Sie sich dabei nicht ausschließlich auf den sichtbaren Benutzernamen. Ein Angreifer kann bewusst einen Namen wählen, der einem legitimen Administrator ähnelt.

Paytium-Zahlungen und Server-Logs überprüfen

Da der dokumentierte Angriffsweg den Paytium-Zahlungsvorgang verwendet, sind auch Transaktionsdaten und verfügbare Server-Logs für eine Untersuchung relevant.

Prüfen Sie, soweit verfügbar:

• unbekannte oder unerwartete Paytium-Zahlungen;
• ungewöhnlich kleine oder anderweitig verdächtige Zahlungen;
• Zahlungen, die zeitlich mit der Erstellung eines WordPress-Benutzers zusammenfallen;
• Anfragen, die pt_form_field enthalten;
• Anfragen, die pt-user-role enthalten;
• Anfragen, mit denen versucht wird, die Administratorrolle festzulegen;
• WordPress-Benutzerregistrierungen unmittelbar nach Paytium-Transaktionen.

Wird ein manipulierter pt-user-role-Parameter in einer öffentlichen Anfrage gefunden, sollte dies unverzüglich untersucht werden.

Auf zusätzliche Persistenz prüfen

Wenn ein unbekanntes Administrator-Konto gefunden wird, sollte nicht lediglich das Konto gelöscht und der Vorfall anschließend als erledigt betrachtet werden.

Ein Angreifer mit Administratorrechten könnte bereits zusätzliche Persistenz eingerichtet haben.

Überprüfen Sie deshalb ebenfalls:

• kürzlich installierte oder veränderte Plugins;
• unbekannte Must-Use-Plugins;
• kürzlich veränderte Themes;
• unerwartete PHP-Dateien;
• wp-content/uploads/ auf ausführbare oder verdächtige Dateien;
• WordPress-Core-Dateien auf unerwartete Änderungen;
• WordPress-Cronjobs;
• weitere Administrator-Konten;
• API- und Anwendungspasswörter;
• verfügbare Webserver- und PHP-Logs.

Wenn festgestellt wird, dass sich ein nicht autorisierter Administrator tatsächlich an der Website angemeldet hat, sollte die Umgebung als kompromittiert behandelt werden.

Zugangsdaten nach bestätigter Kompromittierung ändern

Bei einer bestätigten Website-Übernahme muss davon ausgegangen werden, dass ein Angreifer mit Administratorrechten möglicherweise auf weitere Zugangsdaten und Secrets zugreifen konnte.

Ändern beziehungsweise rotieren Sie daher, soweit relevant:

• WordPress-Administrator-Passwörter;
• WordPress-Salts;
• Datenbank-Zugangsdaten;
• FTP- und SFTP-Zugangsdaten;
• SMTP-Zugangsdaten;
• API-Schlüssel;
• Mollie-API-Zugangsdaten, wenn Hinweise darauf bestehen, dass diese zugänglich gewesen sein könnten;
• weitere Secrets, auf die über die WordPress-Installation zugegriffen werden konnte.

Keine bestätigte aktive Ausnutzung

CVE-2026-18467 wurde als kritische Sicherheitslücke veröffentlicht und der dokumentierte Angriffsweg reicht aus, um das Sicherheitsrisiko zu bestätigen.

Zum Zeitpunkt dieser Veröffentlichung hat Vservs jedoch keine zuverlässige Bestätigung dafür gefunden, dass CVE-2026-18467 derzeit aktiv in freier Wildbahn ausgenutzt wird.

Die Sicherheitslücke ist derzeit auch nicht im CISA Known Exploited Vulnerabilities Catalog aufgeführt.

Wir stufen CVE-2026-18467 daher zum jetzigen Zeitpunkt nicht als aktiv ausgenutzt ein.

Dies reduziert die Dringlichkeit des Sicherheitsupdates nicht. Unter den dokumentierten Voraussetzungen kann ein nicht authentifizierter externer Angreifer Administratorrechte erhalten und damit möglicherweise die vollständige Kontrolle über die WordPress-Website übernehmen.

Verantwortung für WordPress- und CMS-Sicherheitsupdates

Kunden ohne Managed WordPress/CMS-Wartung oder einen separat vereinbarten Managed-CMS-Service sind selbst dafür verantwortlich, WordPress, WooCommerce, andere CMS-Systeme, Plugins, Erweiterungen und Themes rechtzeitig zu aktualisieren.

Wenn Missbrauch, Malware oder nachweisbar ausstehende Wartung dazu führt, dass eine Website oder ein Dienst ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betroffene Website oder den betroffenen Dienst vorübergehend isolieren oder deaktivieren.

Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weitere Schäden, Missbrauch oder Beeinträchtigungen unserer Infrastruktur und Dienste zu verhindern.

Wiederherstellungsarbeiten an nicht verwalteten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen hängen von der Schwere des Vorfalls und der verfügbaren Kapazität ab. Wenn kein sofortiges Eingreifen erforderlich ist, können die Wiederherstellungsarbeiten ab dem nächsten Werktag durchgeführt werden.

Managed WordPress von Vservs

CVE-2026-18467 zeigt erneut, dass auch ein spezialisiertes WordPress-Plugin einen direkten Weg zur vollständigen Übernahme einer Website ermöglichen kann.

Mit Vservs Managed WordPress Hosting übernehmen wir unter anderem Updates für WordPress Core, Plugins und Themes, Security Hardening, Monitoring, Malware-Schutz, Backups und die technische Verwaltung Ihrer WordPress-Installation.

Fazit

CVE-2026-18467 in Paytium erfordert sofortige Aufmerksamkeit.

Unter den dokumentierten Voraussetzungen kann ein externer Angreifer ohne bestehendes WordPress-Konto einen neuen Benutzer mit Administratorrechten anlegen.

Alle Paytium-Versionen bis einschließlich 5.0.3 sind betroffen. Die Sicherheitskorrektur steht ab 5.0.4 zur Verfügung. Inzwischen ist Paytium 5.0.5 verfügbar.

Aktualisieren Sie daher sofort auf Paytium 5.0.5 oder eine neuere sichere Version.

Wenn eine anfällige Version mit öffentlich erreichbaren Paytium-Formularen betrieben wurde, überprüfen Sie zusätzlich alle Administrator-Konten, Paytium-Transaktionen, Webserver-Logs sowie kürzlich veränderte Plugins und Dateien.

Wird ein nicht autorisiertes Administrator-Konto oder ein anderer Hinweis auf eine erfolgreiche Ausnutzung gefunden, sollte die gesamte WordPress-Installation als kompromittiert behandelt werden.

Quellen

• Wordfence Threat Intelligence – Paytium security vulnerabilities
• WordPress.org – Paytium: Mollie payment forms & donations
• CVE Program – CVE-2026-18467