Kritische Sicherheitslücke in The Events Calendar gefährdet WordPress-Websites
The Events Calendar CVE-2026-95606 ist eine kritische Sicherheitslücke im beliebten WordPress-Plugin The Events Calendar. Die Schwachstelle ermöglicht PHP Object Injection ohne vorherige Anmeldung und wurde von Patchstack mit einem CVSS-Wert von 9.8 bewertet. Betroffen sind sämtliche Plugin-Versionen bis einschließlich 6.17.4. Mit Version 6.17.4.1 wurde die Sicherheitslücke geschlossen. Betreiber betroffener WordPress-Websites sollten ihre Installation umgehend aktualisieren.
The Events Calendar gehört mit mehr als 600.000 aktiven Installationen zu den weitverbreiteten WordPress-Erweiterungen. Das Plugin wird unter anderem von Unternehmen, Bildungseinrichtungen, Vereinen und Organisationen eingesetzt, um Veranstaltungen und öffentliche Terminkalender zu verwalten.
Die Sicherheitslücke wurde am 2. Oktober 2026 von Patchstack veröffentlicht. Der zugehörige CVE-Eintrag wurde am 7. Oktober 2026 registriert.
Was ist The Events Calendar CVE-2026-95606?
The Events Calendar CVE-2026-95606 ist eine PHP-Object-Injection-Schwachstelle, die durch die unsichere Deserialisierung nicht vertrauenswürdiger Daten entsteht.
Die Schwachstelle wird der Kategorie CWE-502 zugeordnet: Deserialization of Untrusted Data.
PHP ermöglicht es Anwendungen, Daten und Objekte in einem serialisierten Format zu speichern oder zu übertragen. Bei der Deserialisierung werden diese Informationen wieder in ihre ursprüngliche Struktur umgewandelt.
Wenn eine Anwendung nicht vertrauenswürdige Daten ohne ausreichende Überprüfung deserialisiert, können Angreifer unter bestimmten Umständen die Erstellung und Verarbeitung von PHP-Objekten beeinflussen.
Dies kann dazu führen, dass unerwünschte Funktionen innerhalb der Anwendung ausgeführt werden.
Im Fall von The Events Calendar betrifft die Schwachstelle die Verarbeitung bestimmter Widget-Daten.
Der Entwickler hat die Validierung kopierter Widget-Instanzen in Version 6.17.4.1 verstärkt.
Wie funktioniert die PHP-Object-Injection-Schwachstelle?
Bei einer PHP Object Injection versucht ein Angreifer, manipulierte Daten in eine Anwendung einzuschleusen, die anschließend als PHP-Objekte verarbeitet werden.
PHP-Klassen können spezielle Methoden enthalten, die bei bestimmten Vorgängen automatisch ausgeführt werden.
Dazu gehören beispielsweise Methoden, die während der Deserialisierung oder beim Zerstören eines Objekts aufgerufen werden.
Unter bestimmten Voraussetzungen können Angreifer solche Methoden miteinander kombinieren.
Diese Kombination wird als PHP-Gadget-Kette oder Property-Oriented-Programming-Kette (POP Chain) bezeichnet.
Eine geeignete Gadget-Kette kann dazu führen, dass die Anwendung unbeabsichtigte Aktionen ausführt.
Die tatsächlichen Auswirkungen hängen davon ab, welche PHP-Klassen und Methoden in der betroffenen WordPress-Installation verfügbar sind.
Zusätzlich installierte Plugins oder Themes können dabei eine wichtige Rolle spielen.
Welche Auswirkungen kann die Sicherheitslücke haben?
Patchstack bewertet CVE-2026-95606 mit einem kritischen CVSS-3.1-Wert von 9.8.
Die Schwachstelle kann ohne Authentifizierung angesprochen werden. Eine Anmeldung im WordPress-Dashboard ist dafür nicht erforderlich.
Abhängig von der Verfügbarkeit einer geeigneten PHP-Gadget-Kette können folgende Auswirkungen möglich sein:
- Offenlegung sensibler Informationen: Unbefugter Zugriff auf bestimmte Dateien oder Anwendungsdaten.
- Manipulation von Dateien: Unerwünschte Änderungen an Dateien, auf die der PHP-Prozess zugreifen kann.
- Löschen von Dateien: Entfernen von Dateien bei Vorhandensein einer geeigneten Gadget-Kette.
- Remote Code Execution: Ausführung von Angreifercode unter bestimmten Voraussetzungen.
- Weitere Kompromittierung: Missbrauch zusätzlicher Funktionen innerhalb der betroffenen WordPress-Umgebung.
Wichtig: Eine PHP-Object-Injection-Schwachstelle bedeutet nicht automatisch, dass auf jeder betroffenen Website beliebiger PHP-Code ausgeführt werden kann.
Die tatsächlichen Folgen hängen von der vollständigen WordPress-Umgebung und den verfügbaren PHP-Gadget-Ketten ab.
Welche Versionen von The Events Calendar sind betroffen?
Für CVE-2026-95606 gelten folgende technische Angaben:
- Plugin: The Events Calendar.
- Entwickler: Liquid Web / StellarWP.
- CVE-Kennung: CVE-2026-95606.
- Betroffene Versionen: 6.17.4 und älter.
- Erste sichere Version: 6.17.4.1.
- Empfehlung: Die neueste kompatible Version installieren.
- CVSS 3.1: 9.8 – kritisch, laut Patchstack.
- Authentifizierung erforderlich: Nein.
- Schwachstellentyp: PHP Object Injection.
- CWE-Klassifizierung: CWE-502.
Websitebetreiber, die Version 6.17.4 oder eine ältere Version verwenden, sollten das Plugin unverzüglich aktualisieren.
Die Sicherheitskorrektur wurde bereits am 10. September 2026 mit Version 6.17.4.1 veröffentlicht.
Sind alle 600.000 WordPress-Installationen gefährdet?
The Events Calendar wird auf mehr als 600.000 WordPress-Websites eingesetzt.
Diese Zahl bezeichnet jedoch die gesamte Anzahl aktiver Installationen und nicht die Anzahl nachweislich verwundbarer Websites.
Installationen, die bereits Version 6.17.4.1 oder eine neuere Version verwenden, sind gegen diese spezifische Schwachstelle abgesichert.
Darüber hinaus hängt das Ausmaß eines möglichen Angriffs davon ab, welche zusätzlichen Plugins und Themes installiert sind.
Dennoch sollten alle Betreiber einer betroffenen Plugin-Version die Sicherheitsaktualisierung installieren.
Wird CVE-2026-95606 bereits aktiv ausgenutzt?
Mit Stand vom 14. Oktober 2026 liegen keine eindeutig bestätigten Informationen über eine aktive Ausnutzung von CVE-2026-95606 vor.
Patchstack stuft die Schwachstelle als hochprioritär ein und weist darauf hin, dass Sicherheitslücken dieser Art für automatisierte Angriffe interessant sein können.
Eine hohe CVSS-Bewertung oder die Erwartung zukünftiger Angriffe ist jedoch kein Beweis für eine bereits stattfindende Ausnutzung.
Die Schwachstelle ist öffentlich dokumentiert und eine Sicherheitsaktualisierung steht zur Verfügung.
Vservs empfiehlt deshalb, betroffene Installationen ohne unnötige Verzögerung zu aktualisieren.
Wie überprüft man, ob The Events Calendar verwundbar ist?
Websiteadministratoren können überprüfen, ob ihre WordPress-Installation von The Events Calendar CVE-2026-95606 betroffen ist.
Melden Sie sich dazu im WordPress-Dashboard an und öffnen Sie den Bereich Plugins → Installierte Plugins.
Suchen Sie nach The Events Calendar und überprüfen Sie die installierte Versionsnummer.
Wenn Version 6.17.4 oder eine ältere Version installiert ist, besteht Handlungsbedarf.
Aktualisieren Sie das Plugin auf mindestens Version 6.17.4.1.
Versionsprüfung über WP-CLI
Administratoren mit SSH-Zugriff können die installierte Version auch über WP-CLI überprüfen.
Führen Sie im WordPress-Installationsverzeichnis folgenden Befehl aus:
wp plugin get the-events-calendar --field=versionDieser Befehl zeigt die aktuell installierte Plugin-Version an.
Um The Events Calendar über WP-CLI zu aktualisieren, verwenden Sie:
wp plugin update the-events-calendarÜberprüfen Sie anschließend erneut die installierte Version:
wp plugin get the-events-calendar --field=versionDie installierte Version sollte mindestens 6.17.4.1 betragen.
Bei produktiven Websites empfiehlt es sich, vor größeren Aktualisierungen ein aktuelles Backup anzulegen und die Kompatibilität mit anderen Erweiterungen zu überprüfen.
Welche Maßnahmen sollten WordPress-Administratoren ergreifen?
Vservs empfiehlt folgende Sicherheitsmaßnahmen:
- Überprüfen Sie, ob The Events Calendar installiert ist.
- Kontrollieren Sie die aktuell verwendete Plugin-Version.
- Aktualisieren Sie betroffene Installationen auf mindestens Version 6.17.4.1.
- Installieren Sie nach Möglichkeit die neueste kompatible Version.
- Überprüfen Sie nach dem Update die Funktion von Kalenderseiten und Veranstaltungsübersichten.
- Testen Sie gegebenenfalls vorhandene Veranstaltungsregistrierungen und Integrationen.
- Kontrollieren Sie weitere installierte Plugins und Themes auf bekannte Sicherheitslücken.
- Entfernen Sie nicht mehr benötigte Erweiterungen.
- Überprüfen Sie WordPress-Benutzerkonten und Administratorberechtigungen.
- Kontrollieren Sie Webserver- und Anwendungsprotokolle auf verdächtige Aktivitäten.
Organisationen mit mehreren WordPress-Websites sollten gezielt nach veralteten Installationen von The Events Calendar suchen.
Falls eine Aktualisierung nicht sofort möglich ist, kann das Plugin vorübergehend deaktiviert werden.
Dadurch können allerdings öffentliche Veranstaltungskalender und damit verbundene Funktionen vorübergehend nicht verfügbar sein.
WordPress auf mögliche Kompromittierung überprüfen
Die Installation eines Sicherheitsupdates verhindert die Ausnutzung der behobenen Schwachstelle, entfernt jedoch nicht automatisch bereits vorhandene Schadsoftware oder unerlaubte Änderungen.
Administratoren sollten deshalb bei zuvor verwundbaren Installationen auf verdächtige Aktivitäten achten.
Empfohlene Kontrollen:
- Untersuchen Sie Webserver-Protokolle auf ungewöhnliche Anfragen an WordPress-Funktionen.
- Überprüfen Sie verdächtige Anfragen auf unerwartete serialisierte PHP-Objektdaten.
- Kontrollieren Sie WordPress-Core-Dateien, Plugins und Themes auf nicht autorisierte Änderungen.
- Untersuchen Sie beschreibbare Verzeichnisse auf unbekannte PHP-Dateien.
- Überprüfen Sie Benutzerkonten auf unbekannte Administratoren.
- Kontrollieren Sie geplante Aufgaben und Cronjobs auf unerwartete Änderungen.
- Untersuchen Sie ungewöhnliche ausgehende Netzwerkverbindungen.
- Prüfen Sie PHP-Fehlerprotokolle auf auffällige Fehlermeldungen oder unerwartetes Verhalten.
Diese Prüfungen stellen allgemeine Empfehlungen zur Erkennung möglicher Kompromittierungen dar.
Es handelt sich nicht um bestätigte spezifische Angriffssignaturen für CVE-2026-95606.
Das Auftreten ungewöhnlicher Anfragen allein beweist noch keinen erfolgreichen Angriff.
Wenn eine Kompromittierung vermutet wird, sollten relevante Protokolle und Beweismittel vor umfangreichen Bereinigungsmaßnahmen gesichert werden.
Warum PHP Object Injection für WordPress gefährlich ist
Viele WordPress-Websites verwenden zahlreiche Plugins und Themes, um zusätzliche Funktionen bereitzustellen.
Jede Erweiterung bringt eigene PHP-Klassen, Methoden und Anwendungsfunktionen mit.
Auch wenn diese Komponenten einzeln betrachtet sicher erscheinen, können bestimmte Kombinationen unerwartete Sicherheitsrisiken verursachen.
Bei PHP-Object-Injection-Schwachstellen können Angreifer versuchen, Funktionen anderer installierter Komponenten für ihre Zwecke zu missbrauchen.
Dadurch hängt die tatsächliche Gefährdung nicht ausschließlich vom verwundbaren Plugin ab, sondern von der gesamten WordPress-Installation.
Regelmäßige Updates, sorgfältig ausgewählte Erweiterungen und angemessene Dateiberechtigungen sind deshalb wichtige Sicherheitsmaßnahmen.
Professionelles WordPress-Hosting bei Vservs
Vservs bietet professionell verwaltete Hostinginfrastruktur für Unternehmen, Agenturen und Organisationen, die WordPress-Websites betreiben.
Unsere Managed VPS Server bieten eine professionell betreute Serverumgebung mit Betriebssystemupdates, Sicherheitswartung, Monitoring und Infrastrukturverwaltung.
Für WordPress-Websites bleibt die Sicherheit der Anwendung selbst ebenso wichtig.
WordPress-Core, Plugins und Themes müssen regelmäßig aktualisiert werden, um bekannte Sicherheitslücken zu schließen.
Eine gepflegte Hostinginfrastruktur in Kombination mit aktuellen WordPress-Komponenten trägt dazu bei, Sicherheitsrisiken zu reduzieren und einen zuverlässigen Websitebetrieb zu unterstützen.
Fazit
The Events Calendar CVE-2026-95606 ist eine kritische PHP-Object-Injection-Schwachstelle, die sämtliche Plugin-Versionen bis einschließlich 6.17.4 betrifft.
Die Schwachstelle kann ohne Authentifizierung angesprochen werden und unter bestimmten Voraussetzungen schwerwiegende Folgen haben.
Obwohl eine aktive Ausnutzung dieser spezifischen Schwachstelle bislang nicht bestätigt wurde, machen der CVSS-Wert von 9.8 und die große Verbreitung des Plugins eine zeitnahe Aktualisierung erforderlich.
WordPress-Administratoren sollten The Events Calendar auf mindestens Version 6.17.4.1 aktualisieren und gleichzeitig weitere installierte Erweiterungen auf bekannte Sicherheitsprobleme überprüfen.