WooCommerce Wholesale Lead Capture-Schwachstelle wird aktiv ausgenutzt
Eine kritische Schwachstelle im WordPress-Plugin WooCommerce Wholesale Lead Capture wird aktiv ausgenutzt, um PHP-Backdoors auf verwundbaren Websites zu platzieren. Die Sicherheitslücke wird als CVE-2026-27540 geführt und ermöglicht einem nicht authentifizierten Angreifer, beliebige Dateien auf den Server hochzuladen.
Die Schwachstelle betrifft WooCommerce Wholesale Lead Capture bis einschließlich Version 2.0.3.1. Die Sicherheitslücke wurde in Version 2.0.3.2 behoben.
Die Schwachstelle wurde bereits früher im Jahr 2026 veröffentlicht. Die Situation ist inzwischen jedoch deutlich dringlicher geworden, da reale Angriffe beobachtet wurden, bei denen CVE-2026-27540 zur Installation schädlicher PHP-Dateien auf WordPress-Websites verwendet wird.
Was ist CVE-2026-27540?
CVE-2026-27540 ist eine unauthentifizierte Arbitrary-File-Upload-Schwachstelle in der Wholesale Lead Capture Plugin for WooCommerce.
Das Plugin stellt unter anderem Funktionen für die Registrierung von Wholesale- und Geschäftskunden innerhalb von WooCommerce bereit. Dazu gehören Funktionen, über die Dateien über Registrierungsformulare hochgeladen werden können.
Durch eine unzureichende Kontrolle der hochgeladenen Dateitypen kann ein Angreifer ohne WordPress-Account beliebige Dateien auf den Server hochladen.
Dazu können auch ausführbare PHP-Dateien gehören.
Vom Datei-Upload zur vollständigen WordPress-Übernahme
Die Möglichkeit, eine PHP-Datei hochzuladen, ist erheblich schwerwiegender als ein gewöhnlicher unerwünschter Datei-Upload.
Ist die hochgeladene Datei über den Webserver erreichbar und ausführbar, kann ein Angreifer eine PHP-Webshell oder eine andere Backdoor installieren. Dadurch kann Code mit den Berechtigungen des betroffenen Hosting-Accounts ausgeführt werden.
Ein Angreifer könnte dadurch unter anderem:
- WordPress-Dateien verändern;
- Malware und dauerhafte Backdoors installieren;
- Datenbank-Zugangsdaten und Konfigurationsdateien auslesen;
- WordPress-Administratoren anlegen oder verändern;
- Besucher auf schädliche Websites umleiten;
- Spam- oder Phishing-Seiten bereitstellen;
- die vollständige WordPress-Website übernehmen.
Welche Versionen sind verwundbar?
Verwundbar:
- WooCommerce Wholesale Lead Capture 2.0.3.1 und älter.
Gegen CVE-2026-27540 abgesichert:
- WooCommerce Wholesale Lead Capture 2.0.3.2 oder neuer.
Kontrollieren Sie immer die tatsächlich installierte Plugin-Version. Ein aktuelles WordPress Core oder WooCommerce bedeutet nicht automatisch, dass dieses separate Plugin ebenfalls aktualisiert wurde.
Wird CVE-2026-27540 aktiv ausgenutzt?
Ja. Eine aktive Ausnutzung von CVE-2026-27540 wurde beobachtet.
Sicherheitsforscher berichten von Angriffen, bei denen die Schwachstelle verwendet wird, um schädliche PHP-Dateien und Webshells auf verwundbare WordPress-Installationen hochzuladen.
Da die Schwachstelle tatsächlich in realen Angriffen ausgenutzt wird, sollten Administratoren einer verwundbaren Website ihre Maßnahmen nicht auf die Installation des Updates beschränken. Zusätzlich sollte kontrolliert werden, ob die Website möglicherweise bereits kompromittiert wurde.
Was sollten WordPress- und WooCommerce-Administratoren jetzt tun?
- Sofort kontrollieren, ob WooCommerce Wholesale Lead Capture installiert ist.
- Die vollständige Plugin-Version überprüfen.
- Version 2.0.3.1 und älter sofort auf 2.0.3.2 oder neuer aktualisieren.
- Das Plugin deaktivieren oder entfernen, wenn eine abgesicherte Version nicht sofort installiert werden kann.
- Die Website auf unbekannte PHP-Dateien und andere kürzlich erstellte Dateien überprüfen.
- WordPress auf unbekannte Administratoraccounts kontrollieren.
- Webserver-Logs auf verdächtige Requests zur Upload-Funktion des Plugins untersuchen.
Kontrolle auf eine mögliche Kompromittierung
Da CVE-2026-27540 aktiv ausgenutzt wird, sollten verwundbare Installationen auf Anzeichen einer Kompromittierung kontrolliert werden.
Überprüfen Sie unter anderem:
- unbekannte PHP-Dateien in Upload-Verzeichnissen;
- PHP-, PHTML- oder andere ausführbare Dateien unter
wp-content/uploads; - kürzlich veränderte WordPress-Core-, Plugin- und Theme-Dateien;
- unbekannte WordPress-Administratoraccounts;
- unerwartete Änderungen an
wp-config.php; - unbekannte Plugins oder Must-Use-Plugins;
- verdächtige WordPress-Cronjobs;
- unerwartete ausgehende Verbindungen der Website;
- Spam-Seiten, Weiterleitungen oder unbekannte Inhalte auf der Website.
Zusätzlich können die Webserver-Logs auf verdächtige Requests im Zusammenhang mit der verwundbaren Upload-Funktion kontrolliert werden. Die betroffene Funktionalität umfasst den Handler wwlc_file_upload_handler.
Werden verdächtige PHP-Dateien, unbekannte Administratoraccounts oder andere Hinweise auf eine Kompromittierung gefunden, reicht die Aktualisierung des Plugins nicht aus. Die vollständige WordPress-Installation und gegebenenfalls auch die zugrunde liegende Hosting-Umgebung sollten dann untersucht werden.
Vservs Managed WordPress
Mit Vservs Managed WordPress Hosting werden WordPress Core, Plugins und Themes technisch verwaltet und auf Updates sowie bekannte Sicherheitsrisiken überwacht.
Kritische Schwachstellen wie CVE-2026-27540 zeigen, warum Plugin-Verwaltung mehr umfasst als gelegentliche Updates. Sobald eine aktive Ausnutzung festgestellt wird, sind schnelles Patchen, Monitoring und gegebenenfalls eine Kontrolle auf Kompromittierung entscheidend.