Kritische The Events Calendar-Schwachstellen können WordPress vollständig übernehmen
Zwei kritische Schwachstellen in The Events Calendar können einem nicht authentifizierten Angreifer ermöglichen, eine verwundbare WordPress-Website vollständig zu übernehmen. Die Sicherheitslücken sind als CVE-2026-78006 und CVE-2026-78159 registriert und wurden beide mit CVSS 9,8 (Critical) bewertet.
The Events Calendar wird auf mehr als 600.000 WordPress-Websites eingesetzt. Die bekannten Angriffsketten können letztendlich zur Ausführung von Code auf dem Server und damit zur vollständigen Kontrolle über die betroffene WordPress-Installation führen.
Vservs empfiehlt allen Administratoren, die The Events Calendar einsetzen, die installierte Version sofort zu kontrollieren und auf Version 6.17.4.1 oder neuer zu aktualisieren.
Was ist bei The Events Calendar passiert?
In The Events Calendar wurden zwei unterschiedliche Angriffsketten entdeckt. Beide können unter bestimmten Voraussetzungen ohne vorhandenes WordPress-Benutzerkonto ausgelöst werden.
Die Schwachstellen betreffen die Verarbeitung und Darstellung von WordPress-Widgets und Blocks innerhalb von Event-Seiten.
Unter bestimmten Bedingungen können von einem Angreifer kontrollierte Daten aus Kommentaren auf Event-Seiten in Funktionen gelangen, die nicht für die Verarbeitung solcher Eingaben vorgesehen sind.
CVE-2026-78006: PHP Object Injection bis Remote Code Execution
CVE-2026-78006 betrifft unzureichende Schutzmaßnahmen bei der Verarbeitung von Widget-Daten.
Durch eine Kombination aus PHP-Objekt-Deserialisierung, Magic Methods und der Verarbeitung kopierter Widget-Daten kann ein Angreifer letztendlich beliebigen Code auf dem zugrunde liegenden Server ausführen.
Die Schwachstelle hat einen CVSS-Score von 9,8 Critical.
Betroffen:
- The Events Calendar bis einschließlich Version 6.17.4.
Behoben:
- The Events Calendar 6.17.4.1 oder neuer.
CVE-2026-78159: Code Injection bis Remote Code Execution
Die zweite Schwachstelle, CVE-2026-78159, ist ebenfalls Teil einer Angriffskette, die ohne vorherige Authentifizierung gestartet werden kann.
Durch unzureichende Validierung der Widget-Daten kann ein speziell präparierter Wert Sicherheitskontrollen umgehen und eine Callable-Funktion innerhalb der Plugin-Logik erreichen.
Dadurch kann ein nicht authentifizierter Angreifer Code auf dem Server ausführen.
Auch CVE-2026-78159 wurde mit CVSS 9,8 Critical bewertet.
Betroffen sind Versionen bis einschließlich 6.17.3. Die erste Korrektur erfolgte mit 6.17.3.1. Da CVE-2026-78006 jedoch auch spätere Versionen bis einschließlich 6.17.4 betrifft, muss letztendlich mindestens Version 6.17.4.1 installiert werden.
The Events Calendar 6.17.4 ist noch verwundbar
Dieses Versionsdetail ist besonders wichtig. Eine Website mit The Events Calendar 6.17.4 ist nicht vollständig gegen beide Schwachstellen geschützt.
Die Version, die beide Sicherheitsprobleme abdeckt, ist:
6.17.4.1
Administratoren sollten deshalb die vollständige Plugin-Version überprüfen. Eine Installation mit Version 6.17.4 muss weiterhin aktualisiert werden.
Wann ist die bekannte Angriffskette möglich?
Die dokumentierten Angriffsketten nutzen Kommentare auf Event-Seiten als möglichen Einstiegspunkt.
Dafür müssen Kommentare für Events aktiviert sein. Bei CVE-2026-78006 kann zudem eine WordPress-Moderations-URL verwendet werden, über die ein nicht authentifizierter Kommentator den eigenen noch nicht freigegebenen Kommentar anzeigen kann.
Dadurch kann präparierter Block-Inhalt den verwundbaren Verarbeitungspfad erreichen, bevor ein Administrator den Kommentar freigegeben hat.
Das vorübergehende Deaktivieren von Kommentaren auf Event-Seiten kann die bekannte Angriffsmethode einschränken. Dies ist jedoch kein Ersatz für das Sicherheitsupdate.
Werden die Schwachstellen aktiv ausgenutzt?
Zum Zeitpunkt der Veröffentlichung liegen Vservs keine ausreichend zuverlässigen Hinweise vor, um von einer großflächigen aktiven Ausnutzung von CVE-2026-78006 oder CVE-2026-78159 zu sprechen.
Die technischen Informationen zu beiden Schwachstellen sind jedoch öffentlich verfügbar. Aufgrund des CVSS-Scores von 9,8, des unauthentifizierten Angriffspfads und der großen Verbreitung von The Events Calendar sollten Administratoren das Update unverzüglich installieren.
Was sollten WordPress-Administratoren jetzt tun?
- Kontrollieren, ob The Events Calendar installiert ist.
- Die vollständige Versionsnummer überprüfen.
- Sofort auf Version 6.17.4.1 oder neuer aktualisieren.
- Auch verwandte Plugins aus dem The Events Calendar-Ökosystem aktualisieren.
- Kommentare auf Event-Seiten vorübergehend deaktivieren, wenn ein sofortiges Update nicht möglich ist.
- WordPress auf unbekannte Administratoraccounts überprüfen.
- Kürzlich installierte Plugins und Themes kontrollieren.
- Unerwartet veränderte PHP-Dateien untersuchen.
Kontrolle auf eine mögliche Kompromittierung
Eine verwundbare Plugin-Version bedeutet nicht automatisch, dass eine WordPress-Website kompromittiert wurde. Websites, die längere Zeit mit einer verwundbaren Version öffentlich erreichbar waren, sollten jedoch zusätzlich überprüft werden.
- unbekannte WordPress-Administratoren;
- unerwartete Änderungen von Administrator-Passwörtern;
- unbekannte oder kürzlich installierte Plugins;
- kürzlich veränderte PHP-Dateien;
- PHP-, PHTML- oder andere ausführbare Dateien unter
wp-content/uploads; - verdächtige Requests auf Event- und Kommentarfunktionen in den Webserver-Logs;
- unerwartete WordPress-Cronjobs oder serverseitige geplante Tasks;
- ungewöhnliche ausgehende Verbindungen der Website.
Werden unbekannte Administratoraccounts, manipulierte Dateien oder andere Hinweise auf eine Kompromittierung gefunden, reicht ein Update von The Events Calendar nicht aus. Die gesamte WordPress-Installation sollte dann als potenziell kompromittiert untersucht werden.
Vservs Managed WordPress
Bei Vservs Managed WordPress werden WordPress Core, Plugins und Themes technisch verwaltet. Dazu gehören unter anderem Security-Updates, Security-Hardening, Monitoring, Backups und technisches WordPress-Management.
Kritische Schwachstellen wie CVE-2026-78006 und CVE-2026-78159 zeigen, warum zeitnahe Plugin-Updates ein wesentlicher Bestandteil der WordPress-Sicherheit sind.