Really Simple Security Sicherheitslücke ermöglicht Umgehung der WordPress-2FA

Really Simple Security Sicherheitslücke: In dem beliebten WordPress-Plugin Really Simple Security, früher bekannt als Really Simple SSL, wurde eine Sicherheitslücke veröffentlicht, durch die die E-Mail-basierte Zwei-Faktor-Authentifizierung eines WordPress-Kontos umgangen werden kann.

Die Sicherheitslücke wird als CVE-2026-89080 geführt und hat einen CVSS-Score von 7.5 (High).

Really Simple Security ist laut WordPress.org auf mehr als 3 Millionen WordPress-Websites aktiv installiert.

Wichtig ist dabei eine klare Abgrenzung: CVE-2026-89080 ermöglicht es einem Angreifer nicht, das WordPress-Passwort selbst zu umgehen. Der Angreifer muss das gültige Passwort des betroffenen Benutzerkontos bereits kennen. Anschließend kann die Sicherheitslücke genutzt werden, um den zusätzlichen Schutz der E-Mail-basierten Zwei-Faktor-Authentifizierung zu umgehen.

Wenn das betroffene Konto Administratorrechte besitzt, kann eine erfolgreiche Ausnutzung letztlich zur vollständigen Übernahme der WordPress-Website führen.

Fakten zur Really Simple Security Sicherheitslücke

• Produkt: Really Simple Security
• Früherer Name: Really Simple SSL
• Plattform: WordPress
• Aktive Installationen: mehr als 3 Millionen
• CVE: CVE-2026-89080
• Schwachstellentyp: Improper Authentication / 2FA Bypass
• CWE: CWE-287
• Schweregrad: High
• CVSS: 7.5
• Betroffene Versionen: ab 9.5.10.1 bis vor 9.8.1
• Für CVE-2026-89080 gepatcht ab: 9.8.1
• Aktuelle empfohlene Version: 9.8.2 oder neuer
• Voraussetzung für einen Angriff: Der Angreifer muss das gültige Passwort des Zielkontos bereits kennen
• Mögliche Auswirkungen: Umgehung der E-Mail-2FA und Übernahme des betroffenen WordPress-Kontos
• Maximale Auswirkungen: vollständige WordPress-Kompromittierung bei einem betroffenen Administrator-Konto
• Exploit-Status: zum Zeitpunkt der Veröffentlichung keine bestätigte aktive Ausnutzung bekannt
• Erforderliche Maßnahme: Really Simple Security sofort auf die aktuelle Version aktualisieren

Was ist CVE-2026-89080?

Really Simple Security stellt verschiedene Sicherheitsfunktionen für WordPress bereit, darunter Login-Schutz, Hardening und Zwei-Faktor-Authentifizierung.

Bei der E-Mail-basierten 2FA muss ein Benutzer nach der Eingabe des regulären WordPress-Passworts eine zusätzliche Verifizierung durchführen. Dadurch sollte allein die Kenntnis des Passworts nicht ausreichen, um Zugriff auf ein geschütztes Benutzerkonto zu erhalten.

CVE-2026-89080 betrifft genau diese zusätzliche Sicherheitsebene.

Bei verwundbaren Versionen kann der Status einer bereits abgeschlossenen E-Mail-2FA-Registrierung unter bestimmten Bedingungen zurückgesetzt werden.

Ein Angreifer, der das Passwort des betreffenden Benutzerkontos bereits kennt, kann dadurch die zweite Authentifizierungsstufe umgehen und anschließend Zugriff auf das WordPress-Konto erhalten.

Keine passwortlose Administrator-Übernahme

Die Auswirkungen von CVE-2026-89080 müssen korrekt eingeordnet werden.

Die Sicherheitslücke ermöglicht es einem beliebigen Angreifer nicht, sich ohne gültige Zugangsdaten direkt bei WordPress anzumelden. Auch das eigentliche WordPress-Passwort wird durch die Schwachstelle nicht offengelegt oder umgangen.

Für eine erfolgreiche Kontoübernahme muss der Angreifer das korrekte Passwort des betroffenen WordPress-Benutzers bereits besitzen.

Ein solches Passwort kann beispielsweise zuvor durch Phishing, Credential Stuffing, Schadsoftware auf einem Arbeitsplatzrechner, Wiederverwendung von Passwörtern oder ein separates Datenleck kompromittiert worden sein.

Die Zwei-Faktor-Authentifizierung soll ein Konto gerade in einer solchen Situation zusätzlich schützen. CVE-2026-89080 kann diese zusätzliche Schutzschicht unter bestimmten Umständen umgehen.

Administrator-Konten stellen das größte Risiko dar

Wenn ein Angreifer über die Really Simple Security Sicherheitslücke Zugriff auf ein WordPress-Administrator-Konto erhält, können die Auswirkungen erheblich sein.

Abhängig von der WordPress- und Serverkonfiguration kann ein Administrator unter anderem:

• weitere Administrator-Konten erstellen;
• bestehende Benutzerkonten verändern;
• Plugins installieren und aktivieren;
• Themes verändern;
• Website-Inhalte manipulieren;
• schädlichen JavaScript-Code oder Weiterleitungen einfügen;
• auf WooCommerce-Daten zugreifen, wenn WooCommerce installiert ist;
• Sicherheitsplugins deaktivieren;
• Malware oder Phishing-Seiten veröffentlichen;
• möglicherweise PHP-Code über WordPress ausführen.

Eine erfolgreiche Übernahme eines Administrator-Kontos sollte daher als mögliche vollständige Kompromittierung der WordPress-Installation behandelt werden.

Mehr als 3 Millionen aktive Installationen

Really Simple Security gehört zu den am weitesten verbreiteten Sicherheitsplugins für WordPress.

WordPress.org meldet aktuell mehr als 3 Millionen aktive Installationen.

Die große Verbreitung macht CVE-2026-89080 besonders relevant, auch wenn eine erfolgreiche Kontoübernahme voraussetzt, dass der Angreifer das Passwort des Zielkontos bereits kennt.

Really Simple Security sofort aktualisieren

Die von CVE-2026-89080 betroffene Versionsreihe beginnt bei 9.5.10.1 und umfasst alle Versionen vor 9.8.1.

Die konkrete Sicherheitslücke wurde mit:

Really Simple Security 9.8.1

geschlossen.

Version 9.8.1 wurde am 1. September 2026 veröffentlicht und enthält mehrere relevante Sicherheitsänderungen an der Authentifizierungs- und 2FA-Funktionalität.

Inzwischen wurde am 14. September 2026 zusätzlich Really Simple Security 9.8.2 veröffentlicht. Diese Version enthält eine weitere 2FA-Sicherheitsverbesserung und verhindert unter anderem, dass Benutzer, für die 2FA verpflichtend ist, ihre eigene 2FA-Grace-Period verlängern können.

Vservs empfiehlt daher, nicht lediglich auf 9.8.1, sondern direkt auf die aktuellste verfügbare Version 9.8.2 oder neuer zu aktualisieren.

Installierte Plugin-Version überprüfen

Administratoren mit WP-CLI-Zugriff können die installierte Plugin-Version beispielsweise mit folgendem Befehl überprüfen:

wp plugin list --name=really-simple-ssl --fields=name,status,version,update

Installieren Sie die aktuellste stabile Version des Plugins.

Überprüfen Sie nach dem Update auch tatsächlich, ob die neue Version aktiv ist. Verlassen Sie sich nicht ausschließlich darauf, dass ein geplantes oder automatisches WordPress-Update erfolgreich durchgeführt wurde.

Konten mit aktivierter 2FA überprüfen

Da CVE-2026-89080 den Status der E-Mail-basierten Zwei-Faktor-Authentifizierung betrifft, sollten Administratoren nach dem Update kontrollieren, ob 2FA bei allen Konten, für die diese Sicherheitsfunktion erforderlich ist, weiterhin korrekt aktiviert ist.

Kontrollieren Sie insbesondere:

• Administrator-Konten;
• Konten mit erweiterten Berechtigungen;
• Konten, deren 2FA-Status unerwartet geändert wurde;
• Benutzer, die ohne bekannten Grund erneut zur Einrichtung von 2FA aufgefordert wurden;
• Konten, bei denen 2FA unerwartet nicht mehr aktiv ist.

WordPress-Administrator-Konten überprüfen

Überprüfen Sie außerdem, ob alle vorhandenen WordPress-Administrator-Konten bekannt und weiterhin erforderlich sind.

Mit WP-CLI kann dies beispielsweise mit folgendem Befehl erfolgen:

wp user list --role=administrator

Untersuchen Sie unbekannte Benutzer, unerwartet geänderte E-Mail-Adressen und Konten, die kürzlich Administratorrechte erhalten haben.

Verdächtige Login-Aktivitäten überprüfen

Wenn Authentifizierungs- oder Login-Protokolle verfügbar sind, sollten diese für den Zeitraum überprüft werden, in dem eine verwundbare Version von Really Simple Security installiert war.

Achten Sie insbesondere auf:

• erfolgreiche Administrator-Anmeldungen von unbekannten IP-Adressen;
• Anmeldungen aus unerwarteten Ländern oder Netzwerken;
• eine erfolgreiche Anmeldung unmittelbar nach mehreren fehlgeschlagenen Versuchen;
• unerwartete Änderungen an den 2FA-Einstellungen;
• neue Sitzungen für Benutzerkonten, deren Besitzer sich selbst nicht angemeldet haben;
• Änderungen an Benutzerprofilen kurz nach verdächtigen Anmeldeaktivitäten.

Eine ungewöhnliche Anmeldung ist nicht automatisch ein Beweis dafür, dass CVE-2026-89080 ausgenutzt wurde, sollte jedoch untersucht werden.

Auf Folgeaktivitäten nach einer Kontoübernahme prüfen

Wenn Hinweise darauf bestehen, dass ein Administrator-Konto übernommen wurde, reicht eine Änderung des Passworts allein nicht aus.

Kontrollieren Sie die WordPress-Installation unter anderem auf:

• kürzlich installierte oder unbekannte Plugins;
• unbekannte Administrator-Konten;
• unerwartete Dateien in wp-content/mu-plugins/;
• kürzlich veränderte PHP-Dateien;
• PHP-Dateien innerhalb von wp-content/uploads/;
• unerwartete Änderungen an Themes;
• Änderungen an wp-config.php;
• unbekannte WordPress-Cron-Ereignisse;
• unerwartete Weiterleitungen oder JavaScript-Code;
• ungewöhnlichen ausgehenden E-Mail-Verkehr.

WordPress-Core-Dateien überprüfen

Mit WP-CLI können die offiziellen WordPress-Core-Prüfsummen kontrolliert werden:

wp core verify-checksums

Unerwartete Änderungen sollten untersucht werden.

Eine veränderte Core-Datei ist nicht automatisch ein Beweis für die Ausnutzung von CVE-2026-89080, kann jedoch auf Folgeaktivitäten nach der Übernahme eines Administrator-Kontos hinweisen.

Aktive WordPress-Sitzungen beenden

Wenn konkrete Hinweise auf eine Kontoübernahme bestehen, reicht es nicht aus, ausschließlich das Passwort zu ändern.

Beenden Sie auch bestehende WordPress-Sitzungen des betroffenen Benutzerkontos, damit bereits erlangte Sitzungen eines Angreifers nicht aktiv bleiben.

Überprüfen Sie anschließend erneut die 2FA-Konfiguration und richten Sie den zweiten Faktor neu ein, wenn dessen Integrität nicht mehr gewährleistet werden kann.

Passwörter bei Verdacht auf Kompromittierung ändern

Eine erfolgreiche Ausnutzung von CVE-2026-89080 setzt voraus, dass der Angreifer das korrekte Passwort des Benutzerkontos kennt.

Wenn der Verdacht besteht, dass ein Konto über diese Sicherheitslücke übernommen wurde, muss das Passwort daher als einer dritten Partei bekannt betrachtet werden.

Verwenden Sie ein neues und einzigartiges Passwort, das nicht für andere Websites oder Dienste eingesetzt wird.

Wenn dasselbe Passwort an anderer Stelle verwendet wurde, ändern Sie es auch dort.

Keine bestätigte aktive Ausnutzung

Zum Zeitpunkt der Veröffentlichung liegen Vservs keine ausreichend zuverlässigen Informationen vor, die bestätigen, dass CVE-2026-89080 aktiv in freier Wildbahn ausgenutzt wird.

Wir bezeichnen diese Sicherheitslücke daher ausdrücklich nicht als aktiv ausgenutzt.

Die Kombination aus mehr als 3 Millionen aktiven Installationen, der Möglichkeit zur Umgehung einer wichtigen zweiten Authentifizierungsstufe und der möglichen Übernahme von Administrator-Konten macht eine schnelle Aktualisierung dennoch erforderlich.

Keine universellen Indicators of Compromise bekannt

Zum Zeitpunkt der Veröffentlichung sind keine zuverlässigen universellen IP-Adressen, Malware-Hashes, Dateinamen oder anderen Indicators of Compromise bekannt, die eindeutig der Ausnutzung von CVE-2026-89080 zugeordnet werden können.

Vservs veröffentlicht daher keine spekulativen IoCs.

Die wichtigsten Kontrollpunkte sind der 2FA-Status der Benutzer, Administrator-Konten, Authentifizierungsprotokolle, aktive Sitzungen und nachfolgende Änderungen innerhalb von WordPress.

Ein Update allein reicht nach einer erfolgreichen Kontoübernahme nicht aus

Die Installation einer gepatchten Version schließt die bekannte Sicherheitslücke, macht jedoch Änderungen, die ein Angreifer bereits zuvor vorgenommen hat, nicht automatisch rückgängig.

Wenn konkrete Hinweise auf einen unbefugten Administrator-Zugriff vorliegen, sollte die WordPress-Installation als möglicherweise kompromittiert behandelt werden.

Untersuchen Sie in diesem Fall die vollständige Installation und ändern Sie relevante WordPress-Passwörter, aktive Sitzungen, WordPress-Salts, API-Keys und andere Secrets, wenn diese während des unbefugten Zugriffs erreichbar gewesen sein könnten.

Verantwortung für WordPress-Sicherheitsupdates

Kunden ohne Managed WordPress/CMS-Wartung oder einen separat vereinbarten Managed-CMS-Service sind selbst dafür verantwortlich, WordPress, WooCommerce, andere CMS-Systeme, Plugins, Erweiterungen und Themes rechtzeitig zu aktualisieren.

Wenn eine Website oder ein Dienst durch Missbrauch, Malware oder nachweislich überfällige Wartung ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betroffene Website oder den betroffenen Dienst vorübergehend isolieren oder deaktivieren.

Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weitere Schäden, Missbrauch oder Beeinträchtigungen unserer Infrastruktur und Dienste zu verhindern.

Wiederherstellungsarbeiten an nicht verwalteten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen hängen von der Schwere des Vorfalls und der verfügbaren Kapazität ab. Wenn kein sofortiges Eingreifen erforderlich ist, können die Wiederherstellungsarbeiten ab dem nächsten Werktag durchgeführt werden.

Managed WordPress von Vservs

Ein Sicherheitsplugin ersetzt keine strukturierte WordPress-Wartung. Auch Software, die selbst Sicherheitsfunktionen wie 2FA, Hardening und Schwachstellenerkennung bereitstellt, kann Sicherheitslücken enthalten und muss daher rechtzeitig aktualisiert werden.

Mit Vservs Managed WordPress übernehmen wir unter anderem die technische WordPress-Verwaltung, Core-, Plugin- und Theme-Updates, Security Hardening, Monitoring, Backups und Unterstützung bei Sicherheitsvorfällen.

Quellen

• WordPress.org – Really Simple Security
• WPScan – Really Simple Security Sicherheitslücken
• NIST NVD – CVE-2026-89080