Kritische Authentifizierungs-Umgehung in Bluehost- und HostGator-Plugins kann WordPress-Website übernehmen

In mehreren WordPress-Plugins von Newfold wurde eine schwerwiegende Authentifizierungsschwachstelle entdeckt. Die Sicherheitslücke wird als CVE-2026-80099 geführt und kann es einem Angreifer ermöglichen, mit Administratorrechten auf WordPress zuzugreifen.

Die verwundbare Komponente wird unter anderem in WordPress-Plugins von Bluehost, HostGator, Web.com und Crazy Domains verwendet. Websites, auf denen eine betroffene Version installiert ist, sollten das Plugin so schnell wie möglich aktualisieren.

Was ist CVE-2026-80099?

CVE-2026-80099 ist eine Schwachstelle in der Authentifizierung der gemeinsam verwendeten wp-module-data-Komponente verschiedener Newfold-WordPress-Plugins.

Die Sicherheitslücke betrifft die Verarbeitung von Bearer-Tokens für Anfragen an die WordPress REST API. Unter bestimmten Bedingungen kann der Authentifizierungsmechanismus auf vorhersehbare Daten zurückgreifen, wenn das Plugin keinen gültigen Authentifizierungsschlüssel erhält.

Dadurch kann ein Angreifer möglicherweise ein Token erzeugen, mit dem die Authentifizierungskontrolle umgangen wird. Bei erfolgreicher Ausnutzung kann WordPress anschließend einen bestehenden Administrator als angemeldeten Benutzer behandeln.

Ein Angreifer kann dadurch potenziell Zugriff auf WordPress-Funktionen erhalten, die normalerweise ausschließlich Administratoren zur Verfügung stehen.

Welche WordPress-Plugins sind betroffen?

Nach den veröffentlichten Informationen zu CVE-2026-80099 sind unter anderem folgende Versionen betroffen:

• Bluehost WordPress Plugin: Version 4.19.0 und älter
• HostGator WordPress Plugin: Version 3.2.0 und älter
• Web WordPress Plugin: Version 2.3.5 und älter
• Crazy Domains WordPress Plugin: Version 2.5.2 und älter
• wp-module-data: Version 2.9.7 und älter

Welche Versionen sind sicher?

Für die einzelnen Hosting-Plugins wurden Updates veröffentlicht, in denen die verwundbare Komponente korrigiert wurde.

• Bluehost: auf Version 4.19.1 oder neuer aktualisieren
• HostGator: auf Version 3.2.1 oder neuer aktualisieren
• Web: auf Version 2.3.6 oder neuer aktualisieren
• Crazy Domains: auf Version 2.5.3 oder neuer aktualisieren

Vservs empfiehlt, grundsätzlich die aktuellste verfügbare Version des jeweiligen Plugins zu installieren und nicht lediglich auf einer älteren, gerade noch abgesicherten Version zu verbleiben.

Technische Auswirkungen

Die Schwachstelle hat einen CVSS-Score von 8.8 (High) und wird als fehlerhafte beziehungsweise unzureichende Authentifizierung eingestuft.

Bei erfolgreicher Ausnutzung kann ein Angreifer Administratorrechte innerhalb von WordPress erhalten. Damit können unter anderem neue Benutzer angelegt, Plugins installiert, Einstellungen verändert und Inhalte der Website manipuliert werden.

Administratorzugriff auf WordPress kann in vielen Hosting-Umgebungen außerdem zur Ausführung von PHP-Code missbraucht werden. Eine Übernahme eines WordPress-Administratorkontos kann dadurch letztlich zur vollständigen Kompromittierung der Website führen.

Wird CVE-2026-80099 aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung sind Vservs keine zuverlässigen Hinweise auf eine weit verbreitete aktive Ausnutzung von CVE-2026-80099 bekannt.

Die Schwachstelle sollte dennoch ernst genommen werden. Technische Informationen zur Sicherheitslücke sind öffentlich verfügbar und für eine Ausnutzung ist keine Interaktion eines WordPress-Administrators erforderlich.

Was sollten Website-Betreiber jetzt tun?

Prüfen Sie zunächst, ob eines der betroffenen Plugins auf Ihrer WordPress-Website installiert ist. Wird eine verwundbare Version eingesetzt, sollte das Plugin umgehend auf die aktuellste verfügbare Version aktualisiert werden.

Wird das betreffende Plugin nicht mehr benötigt, empfiehlt Vservs, es vollständig zu entfernen und nicht lediglich zu deaktivieren.

Zusätzlich sollte überprüft werden, ob unbekannte WordPress-Benutzer oder neue Administratorkonten angelegt wurden.

Website auf eine mögliche Kompromittierung prüfen

Bei Websites, auf denen über einen längeren Zeitraum eine verwundbare Version aktiv war, empfiehlt Vservs mindestens folgende Kontrollen:

• Alle WordPress-Benutzer mit Administratorrechten überprüfen.
• Nach kürzlich angelegten oder geänderten Benutzerkonten suchen.
• Prüfen, welche Plugins kürzlich installiert oder aktiviert wurden.
• Website-Dateien auf unerwartete PHP-Dateien und kürzlich vorgenommene Änderungen kontrollieren.
• Das Verzeichnis wp-content/uploads auf PHP-Dateien oder andere ausführbare Dateien überprüfen.
• Webserver-Logs auf verdächtige Anfragen an die WordPress REST API kontrollieren.
• Geplante WordPress-Aufgaben und Server-Cronjobs auf unbekannte Befehle überprüfen.
• Nach unerwünschten Weiterleitungen, veränderten JavaScript-Dateien und unbekanntem Code in Themes und Plugins suchen.

Werden unbekannte Administratorkonten oder verdächtige Dateien gefunden, reicht die Installation des Sicherheitsupdates allein nicht aus. In diesem Fall sollten die WordPress-Installation und die Hosting-Umgebung auf weitere Anzeichen einer Kompromittierung untersucht werden.

Warum diese Schwachstelle besondere Aufmerksamkeit verdient

Die verwundbare Komponente wird nicht nur von einem einzelnen WordPress-Plugin verwendet. Newfold setzt dieselbe zugrunde liegende Funktionalität in Plugins ein, die mit mehreren großen Hosting-Marken verbunden sind.

Dadurch kann dieselbe Sicherheitslücke auf unterschiedlichen WordPress-Installationen vorhanden sein, ohne dass Website-Betreiber erkennen, dass ein vom Hosting-Anbieter bereitgestelltes Plugin Teil der Angriffsfläche ihrer Website ist.

Managed WordPress Hosting bei Vservs

Für die Sicherheit einer WordPress-Website reicht es nicht aus, nur WordPress Core aktuell zu halten. Auch Plugins und Themes müssen kontinuierlich auf Sicherheitslücken und verfügbare Updates überprüft werden.

Mit Managed WordPress Hosting von Vservs übernehmen wir die technische Verwaltung von WordPress, kontrollieren verfügbare Updates und bekannte Sicherheitsrisiken und überwachen die Hosting-Umgebung aktiv.

Bei einem nicht verwalteten WordPress-Hosting bleibt die Kontrolle und Installation von WordPress-Core-, Plugin- und Theme-Updates in der Verantwortung des Website-Betreibers.

Quellen

• Wordfence Threat Intelligence – CVE-2026-80099
• CVE / NVD – CVE-2026-80099
• Newfold wp-module-data – Sicherheitsänderungen
• Newfold – Updates für Bluehost, HostGator, Web.com und Crazy Domains