Kritische WPMobile.App Sicherheitslücke CVE-2026-94541: 79 Angriffsversuche in 24 Stunden
Die WPMobile.App Sicherheitslücke CVE-2026-94541 kann es einem nicht authentifizierten Angreifer unter bestimmten Voraussetzungen ermöglichen, WordPress-Passwort-Reset-Links abzugreifen und Benutzerkonten zu übernehmen. Die Schwachstelle hat einen CVSS-Score von 9,8 und wird als Critical eingestuft. Auch Administratorkonten können betroffen sein, wodurch eine vollständige Übernahme der WordPress-Website möglich werden kann.
Wordfence hat außerdem gemeldet, innerhalb eines Zeitraums von 24 Stunden 79 Angriffsversuche gegen CVE-2026-94541 blockiert zu haben. Damit gibt es konkrete Hinweise darauf, dass Angreifer versuchen, die Schwachstelle auszunutzen.
Diese Zahl bedeutet ausdrücklich nicht, dass 79 WordPress-Websites erfolgreich kompromittiert wurden. Es handelt sich um von Wordfence erkannte und blockierte Exploit-Versuche.
Was ist die WPMobile.App Sicherheitslücke CVE-2026-94541?
WPMobile.App ist ein WordPress-Plugin, mit dem WordPress-Websites in Android- und iOS-Anwendungen umgewandelt werden können.
Die Schwachstelle betrifft eine Funktion, mit der ausgehende WordPress-E-Mails in Push-Benachrichtigungen für die zugehörige mobile Anwendung umgewandelt werden können.
Ist die sogenannte mail-to-push-Funktion aktiviert, können Informationen aus ausgehenden WordPress-E-Mails verarbeitet und in der Push-Queue des Plugins gespeichert werden.
Das Sicherheitsproblem entsteht, weil verwundbare Versionen nicht ausreichend überprüfen, ob ein Besucher berechtigt ist, bestimmte Informationen aus dieser Queue abzurufen.
Welche WPMobile.App-Versionen sind verwundbar?
- WPMobile.App 11.82 und älter – verwundbar
- WPMobile.App 11.85 oder neuer – gegen CVE-2026-94541 gepatcht
Version 11.83 deaktivierte die betroffene Mail-to-Push-Funktion vorübergehend. Version 11.84 enthielt zusätzliche Hardening-Maßnahmen. Wordfence empfiehlt für die vollständige Behebung von CVE-2026-94541 ein Update auf WPMobile.App 11.85 oder neuer.
Wie können Passwort-Reset-Links offengelegt werden?
Besonders kritisch wird die Schwachstelle, wenn WordPress eine Anfrage zum Zurücksetzen eines Passworts verarbeitet.
Eine normale WordPress-E-Mail zum Zurücksetzen des Passworts enthält eine eindeutige URL und einen Reset-Key. Wer Zugriff auf diese Informationen erhält, kann unter Umständen ein neues Passwort für das betreffende Konto setzen.
Ist Mail-to-Push aktiviert, können Informationen aus dieser Passwort-Reset-E-Mail ebenfalls in die Push-Queue von WPMobile.App gelangen.
Unter den verwundbaren Bedingungen kann ein nicht angemeldeter Angreifer Informationen aus dieser Queue abrufen und dadurch möglicherweise den Passwort-Reset-Link erhalten.
Anschließend kann der Angreifer den legitimen WordPress-Prozess zum Zurücksetzen des Passworts verwenden, um ein neues Passwort für das Zielkonto festzulegen.
Auch WordPress-Administratorkonten können übernommen werden
Die WPMobile.App Sicherheitslücke ist nicht auf WordPress-Konten mit niedrigen Berechtigungen beschränkt. Auch Passwort-Reset-Informationen von Administratoren können betroffen sein.
Gelingt einem Angreifer die Übernahme eines WordPress-Administratorkontos, können die Auswirkungen erheblich sein.
Ein Administrator kann normalerweise unter anderem:
- weitere Administratorkonten erstellen;
- Plugins und Themes installieren oder verändern;
- über verfügbare WordPress-Funktionen PHP-Code einbringen;
- Website-Inhalte ändern oder löschen;
- WordPress-Sicherheitseinstellungen verändern;
- schädliche Redirects oder Backdoors installieren;
- auf Informationen zugreifen, die über den WordPress-Administrationsbereich verfügbar sind.
Eine erfolgreiche Übernahme eines Administratorkontos sollte deshalb als potenzielle Kompromittierung der vollständigen WordPress-Installation behandelt werden.
Wann ist eine WordPress-Website gefährdet?
Die von Wordfence beschriebene Angriffskette zum Abgreifen von Passwort-Reset-Informationen setzt voraus, dass die Mail-to-Push-Funktion von WPMobile.App aktiviert ist.
Wordfence nennt hierfür die Einstellung:
wpmobile_auto_mail=1War diese Funktion nicht aktiviert, ist die beschriebene Methode zum Abgreifen von Passwort-Reset-Informationen nicht direkt anwendbar.
Diese Voraussetzung ist jedoch kein Grund, eine veraltete Plugin-Version installiert zu lassen. Websites mit WPMobile.App 11.82 oder älter sollten trotzdem aktualisiert werden.
Angriffsversuche gegen CVE-2026-94541 wurden beobachtet
Wordfence meldet 79 blockierte Angriffe gegen CVE-2026-94541 innerhalb eines Zeitraums von 24 Stunden.
Damit handelt es sich nicht mehr ausschließlich um eine theoretisch interessante Schwachstelle. Angreifer senden bereits Requests, die auf die verwundbare Funktion abzielen.
Aus den verfügbaren Daten lässt sich jedoch nicht ableiten, wie viele Websites tatsächlich erfolgreich kompromittiert wurden.
Vservs beschreibt CVE-2026-94541 deshalb als Schwachstelle, bei der aktive Exploit-Versuche beobachtet wurden, ohne daraus eine bestimmte Zahl erfolgreicher Kompromittierungen abzuleiten.
Was sollten WordPress-Administratoren jetzt tun?
- Kontrollieren, ob WPMobile.App installiert ist.
- Die aktuell installierte Plugin-Version überprüfen.
- Sofort auf WPMobile.App 11.85 oder neuer aktualisieren.
- Kann nicht sofort aktualisiert werden, das Plugin vorübergehend deaktivieren.
- Prüfen, ob Mail-to-Push aktiviert war.
- Administratorkonten auf unerwartete Änderungen kontrollieren.
- Aktuelle Passwort-Resets und Sicherheitsmeldungen überprüfen.
- WordPress- und Webserver-Logs auf verdächtige Aktivitäten kontrollieren.
Auf mögliche Exploit-Versuche prüfen
Administratoren von Websites, auf denen eine verwundbare Version installiert war, sollten Webserver-Logs auf ungewöhnliche Requests an WPMobile.App-Funktionen überprüfen.
Nach den veröffentlichten technischen Informationen verdient unter anderem folgender Parameter besondere Aufmerksamkeit:
wpapp_category[]Das Auftreten dieses Parameters beweist für sich allein keine erfolgreiche Ausnutzung. Requests sollten mit Quell-IP-Adressen, Zeitstempeln, HTTP-Responses und anschließenden WordPress-Aktivitäten abgeglichen werden.
Kontrollieren Sie außerdem:
- unbekannte oder kürzlich erstellte Administratorkonten;
- unerwartete Änderungen an Administrator-E-Mail-Adressen;
- Passwort-Resets, die nicht von legitimen Benutzern angefordert wurden;
- unbekannte Plugins oder Themes;
- kürzlich geänderte PHP-Dateien;
- unerwartete Änderungen an
wp-config.php; - verdächtige neue Dateien unter
wp-content; - ungewöhnliche WordPress-Loginaktivitäten.
Was tun bei Verdacht auf eine Kontoübernahme?
Gibt es Hinweise darauf, dass ein Administratorkonto erfolgreich übernommen wurde, reicht das Installieren des Plugin-Updates nicht mehr aus.
Die WordPress-Installation sollte dann als potenziell kompromittiert behandelt werden. WordPress Core, Plugins, Themes, Must-Use-Plugins, Benutzerkonten, geplante Aufgaben, Dateisystemänderungen und relevante Server-Logs sollten überprüft werden.
Ein Angreifer mit Administratorrechten kann bereits zusätzliche Persistence eingerichtet haben, beispielsweise über ein schädliches Plugin, ein verändertes Theme, eine Webshell oder ein weiteres Administratorkonto.
Administratorpasswörter und andere relevante Zugangsdaten sollten nach Wiederherstellung und Überprüfung der Integrität geändert werden. Bei bestätigter Kompromittierung sollten außerdem bestehende WordPress-Sitzungen ungültig gemacht werden.
Managed WordPress und Managed VPS bei Vservs
WordPress-Schwachstellen werden zunehmend kurz nach Veröffentlichung technischer Details angegriffen. Schnelle Sicherheitsupdates, Monitoring und die Untersuchung ungewöhnlicher Aktivitäten sind deshalb besonders wichtig.
Mit Vservs Managed WordPress übernehmen wir unter anderem technische WordPress-Verwaltung, Sicherheitsupdates, Hardening, Malware-Kontrollen, Backups und Monitoring.
Für Websites, die eine eigene isolierte Serverumgebung benötigen, bietet Vservs außerdem Managed VPS mit technischem Servermanagement, relevanten Betriebssystem- und Sicherheitsupdates, Monitoring und Server-Hardening.
Zusammenfassung
- Plugin: WPMobile.App – Android and iOS App Builder
- CVE: CVE-2026-94541
- Severity: Critical
- CVSS: 9,8
- Betroffene Versionen: 11.82 und älter
- Abgesicherte Version: 11.85 oder neuer
- Mögliche Auswirkungen: nicht authentifizierte Übernahme von WordPress-Konten einschließlich Administratorkonten
- Voraussetzung: Mail-to-Push-Funktion für die beschriebene Angriffskette aktiviert
- Exploit-Status: Wordfence hat Angriffsversuche gegen CVE-2026-94541 beobachtet und blockiert
- Empfehlung: sofort aktualisieren und Benutzerkonten sowie Logs kontrollieren