497 WordPress-Sicherheitslücken betreffen Plugins und Themes
WordPress-Sicherheitslücken, die zwischen dem 12. und 18. Oktober 2026 offengelegt wurden, betrafen 327 Plugins und 23 Themes. Dies geht aus neuen Einträgen in der Wordfence Intelligence Vulnerability Database hervor. Wordfence erfasste insgesamt 497 Sicherheitslücken, von denen 428 als gepatcht und 69 weiterhin als ungepatcht gekennzeichnet waren. Zu den Offenlegungen trugen 218 Sicherheitsforscher bei; 40 Sicherheitslücken wurden Wordfence PRISM zugeschrieben.
Die Aufschlüsselung nach Schweregrad gibt Websitebetreibern einen klaren Grund, ihre installierte Software zeitnah zu überprüfen. Wordfence stufte 23 Sicherheitslücken als kritisch, 153 als hoch, 315 als mittel und sechs als niedrig ein. Diese Bewertungen verwenden CVSS, das Common Vulnerability Scoring System, mit dem der Schweregrad einer Sicherheitslücke auf einer Skala bis 10 gemessen wird. Der Bericht weist für die schwerwiegendste Gruppe Werte von 9,8 oder 9,1 aus, und viele dieser Sicherheitslücken konnten angegriffen werden, ohne dass sich der Angreifer zuvor anmelden musste.
Die größte Kategorie war cross-site scripting, bei dem unsichere Eingaben dazu führen können, dass eine Website unerwünschten Browsercode ausführt, mit 159 Sicherheitslücken. Wordfence zählte außerdem 116 Schwachstellen durch fehlende Autorisierung, 34 Probleme vom Typ SQL injection, durch die schädliche Eingaben Datenbankabfragen manipulieren könnten, 33 Fälle von deserialization of untrusted data, 31 Offenlegungen sensibler Informationen, 22 Schwachstellen durch unsachgemäßes privilege management, 20 authorization bypasses über benutzergesteuerte Schlüssel und 15 Schwachstellen vom Typ code injection. Weitere Kategorien umfassten elf gefährliche Datei-Uploads, zehn path-traversal-Schwachstellen, acht Fälle einer fehlgeschlagenen Überprüfung der Datenauthentizität, sieben Probleme vom Typ cross-site request forgery, sechs Authentifizierungsschwachstellen, fünf Fälle von PHP remote file inclusion, vier Fehler bei der clientseitigen Durchsetzung, drei Schwachstellen durch fehlerhafte Autorisierung und drei Probleme vom Typ server-side request forgery. Die übrigen Einträge betrafen unsachgemäße Eingabevalidierung, open redirects, eine race condition, eingebetteten Schadcode, unsachgemäße Zugriffskontrolle, downstream injection, command injection und unzureichend zufällige Werte.
Von den mit 9,8 bewerteten Sicherheitslücken waren zum Zeitpunkt der Erfassung drei noch ungepatcht. AGE-GATE 1.0 und ältere Versionen ermöglichten unauthenticated remote code execution über PHP code injection in den Parametern width oder height der eigenständigen Datei admin.php; die Sicherheitslücke wird als CVE-2026-104800 geführt. JTL-Connector for WooCommerce 2.4.3 und ältere Versionen wiesen in der Methode image.push eine unauthenticated file-upload-Schwachstelle auf, CVE-2026-87855. Snazzy Social Media Feed 2.5 und ältere Versionen hatten über den Parameter pluginURL ein Problem vom Typ unauthenticated file upload, CVE-2026-110002. remote code execution bedeutet, dass ein Angreifer die Website dazu bringen kann, vom Angreifer ausgewählte Befehle oder Code auszuführen. Unauthenticated bedeutet, dass kein gültiges Websitekonto erforderlich ist.
Wordfence kennzeichnete die anderen mit 9,8 bewerteten Probleme als gepatcht. Dazu gehörten arbitrary file upload in 10Web Booster bis einschließlich Version 2.34.10, CVE-2026-108587; authentication bypass und SQL injection in Abandoned Cart Pro for WooCommerce bis einschließlich 10.8.0, CVE-2026-97657 und CVE-2026-97668; dateianhangbasierter file upload in ELEX WordPress HelpDesk bis einschließlich 3.3.7, CVE-2026-103768; sowie PHP object injection in LearnPress bis einschließlich 4.4.10, CVE-2026-104736. PHP object injection ist die unsichere Rekonstruktion bereitgestellter Daten zu Programmobjekten, die gefährlich werden kann, wenn auf der Website geeigneter Code vorhanden ist.
Zur Gruppe der gepatchten kritischen Sicherheitslücken gehörten außerdem privilege escalation in MailOptin bis einschließlich 1.2.78.6, CVE-2026-109515; file upload in Mang Board 2.4.4, CVE-2026-109219; remote code execution in MDTF bis einschließlich 1.3.9, CVE-2026-108151; privilege escalation in My Calendar bis einschließlich 3.8.7, CVE-2026-104798; die Übernahme von Konten in OTP Login and Register Woocommerce bis einschließlich 2.7.2, CVE-2026-110135; sowie file upload mit anschließender remote code execution in Printcart Store bis einschließlich 2.9.1, CVE-2026-93388. privilege escalation ermöglicht es einem Konto, Berechtigungen zu erlangen, die es nicht haben sollte.
Weitere gepatchte Einträge mit einer Bewertung von 9,8 waren eingebetteter Schadcode in Rank Math SEO PRO 3.0.123, CVE-2026-111862; privilege escalation durch mass assignment in SimpleForm bis einschließlich 3.10.0, CVE-2026-104748; PHP object injection in Sunshine Photo Cart bis einschließlich 3.7.4, CVE-2026-104730; remote code execution in The Grid bis einschließlich 2.8.1, CVE-2026-94169; sowie privilege escalation in Theme My Login bis einschließlich 7.2.1, CVE-2026-89079.
Vier weitere kritische Probleme erhielten CVSS-Werte von 9,1. Das Appointment Booking Plugin LatePoint bis einschließlich 5.7.4 hatte einen gepatchten authentication bypass, der durch eine race condition im Zähler für Einmalpasswortversuche verursacht wurde, CVE-2026-110653. BuddyPress XProfile Custom Image Field bis einschließlich 3.1.0 hatte eine ungepatchte unauthenticated arbitrary-file-deletion-Schwachstelle. Click to Chat bis einschließlich 4.44 hatte eine gepatchte Schwachstelle bei der shortcode-Ausführung, CVE-2026-92097, während File Upload to Order bis einschließlich 1.1.3 ein gepatchtes arbitrary-file-deletion-Problem aufwies, CVE-2026-107594.
Zu den Sicherheitslücken mit hohem Schweregrad gehörten authenticated remote code execution, file upload, Kontoübernahme, Dateilöschung und command injection in Plugins für Affiliate-Inhalte, Kundenverwaltung, E-Mail-Design, Videos, Verzeichnisse, Karten, Salons, Fotoalben und SMTP-E-Mails. Wordfence meldete außerdem eine ungepatchte Gruppe von mit 8,1 bewerteten PHP object injection-Schwachstellen in den Themes Avventure, Bonbon, Coinpress, Edge Decor, EmojiNation, Filmax, Gamezone, Gamic, Good Homes, Gunslinger, Le Truffe, Legal Stone, Marcell, Meals and Wheels, Mission, Motorix, Muzicon, Nuts und Orpheus. Zu den ungepatchten Problemen mit hohem Schweregrad gehörten außerdem das beliebige Lesen von Dateien in Contact Form 7 Signature Addon bis einschließlich 4.2.2, SQL injection in Gmedia Photo Gallery bis einschließlich 1.25.1 und eine separate SQL injection in JTL-Connector for WooCommerce bis einschließlich 2.4.3.
Wordfence teilte mit, dass sein Threat-Intelligence-Team während der Zusammenarbeit mit den Anbietern an Patches WAF-RULE-966 und WAF-RULE-967 bereitgestellt, deren technische Details jedoch zurückgehalten habe. Eine WAF, also eine web application firewall, filtert schädliche Webanfragen, bevor sie anfälligen Code erreichen. Wordfence fügte außerdem Schutz vor PHP object injection in Kommentaren hinzu. Premium-, Care- und Response-Kunden erhielten die Regeln sofort, während das kostenlose Plugin sie planmäßig nach einer Verzögerung von 30 Tagen erhalten sollte. Der Schutz durch eine Firewall reduziert das Risiko, ersetzt jedoch weder die Installation eines Anbieter-Patches noch das Entfernen anfälliger Software.
Die Wordfence-Datenbank enthält mehr als 40.000 Sicherheitslücken und kann über ihre kostenlose Benutzeroberfläche, ihre application programming interface und ihre webhook-Integration aufgerufen werden. Ein webhook sendet automatisch eine Benachrichtigung, wenn ein Datenbankereignis eintritt. Wordfence erklärte, dass Websites, auf denen das Plugin mit aktivierter Scanfunktion läuft, bei einer Betroffenheit bereits gewarnt worden sein sollten. Slack- und HTTP-webhooks können zudem in Echtzeit über neue oder aktualisierte Einträge informieren.
Websitebetreiber sollten jedes installierte Plugin und Theme mit den betroffenen Versionen abgleichen, gepatchte Produkte aktualisieren und ungepatchte Komponenten deaktivieren, bis eine sichere Version verfügbar ist.