655 WordPress-Schwachstellen umfassen 21 kritische Fehler
Laut Wordfence Intelligence wurden im Zeitraum vom 5. bis 11. Oktober 655 Schwachstellen in 406 Plugins und 100 Themes für WordPress offengelegt. Von diesen Schwachstellen waren 366 als gepatcht gekennzeichnet, während 289 weiterhin ungepatcht waren. Daher ist eine sofortige Bestandsaufnahme der installierten Software für Websitebetreiber, Agenturen und IT-Teams wichtig.
Die Aufschlüsselung nach Schweregrad ergab 21 kritische, 249 hochgradige, 377 mittelschwere und acht geringfügige Schwachstellen. Der Schweregrad wurde mit CVSS gemessen, dem Common Vulnerability Scoring System zur Bewertung der potenziellen Auswirkungen eines Sicherheitsfehlers. Wordfence gab an, dass 236 Sicherheitsforscher während der Woche zu den Offenlegungen beigetragen hätten, und erklärte, seine Datenbank enthalte mehr als 40.000 WordPress-Schwachstellen. Die Datenbankoberfläche, die Programmierschnittstelle und die webhook-Integration, die neue records automatisch an ein anderes System senden kann, stehen für die private und kommerzielle Nutzung kostenlos zur Verfügung.
Die häufigste Schwachstelle war cross-site scripting oder XSS, wodurch eine anfällige Seite vom Angreifer bereitgestellten Browsercode ausführen kann; davon gab es 198 Fälle. Missing authorization machte 112 Fälle aus, während unsafe deserialization, bei der nicht vertrauenswürdige gespeicherte Daten auf gefährliche Weise rekonstruiert werden, für 67 Fälle verantwortlich war. Hinzu kamen 61 SQL injection-Schwachstellen, durch die bösartige Eingaben Datenbankbefehle beeinflussen können, sowie 45 Fälle der Offenlegung vertraulicher Informationen. Die übrigen Kategorien waren improper privilege management mit 30 Fällen, PHP remote file inclusion mit 24, authorization bypass through a user-controlled key mit 21, dangerous file upload mit 18, path traversal mit 15, code injection mit elf, improper authentication mit neun, cross-site request forgery mit acht, client-side enforcement of server-side security mit sieben, incorrect authorization mit sechs, server-side request forgery mit fünf, missing authentication for a critical function mit drei, uncontrolled resource consumption mit drei, alternate-path authentication bypass mit zwei, protection mechanism failure mit zwei sowie acht Kategorien mit jeweils einem Fall, darunter eine race condition, externally accessible files, improper authorization, input validation failure, downstream injection, vertrauliche Informationen in gesendeten Daten, eine Endlosschleife und vertrauliche zwischengespeicherte Informationen.
Alle 21 kritischen Schwachstellen hatten CVSS-Werte von entweder 9,8 oder 9,1. Zur gepatchten 9,8-Gruppe gehörte 3D Product configurator for WooCommerce bis einschließlich Version 2.16.2, CVE-2026-103889, mit nicht authentifizierter remote code execution. Das bedeutet, dass ein Außenstehender den Server potenziell dazu bringen konnte, bösartige Anweisungen auszuführen. Advanced IP Blocker bis einschließlich Version 8.13.13, CVE-2026-104732, wies einen authentication bypass im Zusammenhang mit seinem Handler für die Zwei-Faktor-Anmeldung auf. Bricksforge bis einschließlich Version 3.1.8.9, CVE-2026-85097, und Extensions For CF7 bis einschließlich Version 3.4.5, CVE-2026-94589, hatten Schwachstellen, die nicht authentifizierte beliebige Datei-Uploads ermöglichten. SiteVault bis einschließlich Version 1.5.19, CVE-2026-42696, wies remote code execution auf; SMS Alert bis einschließlich Version 4.0.0, CVE-2026-94256, ermöglichte die Übernahme von Konten; und WPCOM Member bis einschließlich Version 1.7.27, CVE-2026-104803, hatte einen authentication bypass bei der Anmeldung über soziale Netzwerke.
Acht mit 9,8 bewertete Schwachstellen waren als ungepatcht aufgeführt. Betroffen waren Anton Extensions bis einschließlich Version 1.2.2, CVE-2026-104028; das Doctreat-Theme bis einschließlich Version 1.7.0, CVE-2026-39770; Everest Backup bis einschließlich Version 2.3.13, CVE-2026-39802; Freeton WP bis einschließlich Version 1.0.0, CVE-2026-84737; Mindstien Quick Login bis einschließlich Version 1.0, CVE-2026-84734; Tailored Tools bis einschließlich Version 3.0.3, CVE-2026-62025; Tonda Membership bis einschließlich Version 1.0.1, CVE-2026-62022; und Tourfic Pro bis einschließlich Version 1.17.3, CVE-2026-39774. Zu den Schwachstellen gehörten Datei-Uploads, remote code execution, die Übernahme von Konten und privilege escalation, bei der ein Angreifer Berechtigungen erhält, die ihm nicht zur Verfügung stehen sollten.
Zu den sechs kritischen Schwachstellen mit einem Wert von 9,1 gehörten vier gepatchte Probleme: Avada (Fusion) Builder bis einschließlich Version 3.16.1, CVE-2026-97670, erlaubte nicht authentifizierte WordPress-Aktionen über ein dynamisches Formular-Token; Blocksy Companion bis einschließlich Version 2.1.58, CVE-2026-107645, wies privilege escalation über den Parameter role auf; PPOM bis einschließlich Version 34.0.10, CVE-2026-104801, ermöglichte das Löschen von Dateien; rtMedia bis einschließlich Version 4.7.13, CVE-2026-105892, ermöglichte ebenfalls das Löschen von Dateien; und Super Forms bis einschließlich Version 6.3.316, CVE-2026-17609, ermöglichte das Löschen von Verzeichnissen. Simple File List bis einschließlich Version 6.3.11, CVE-2026-39792, war als ungepatcht aufgeführt und ermöglichte das nicht authentifizierte Löschen von Dateien.
Zu den Schwachstellen mit hohem Schweregrad gehörten außerdem mehrere Fehler, die von registrierten Benutzern mit geringen Berechtigungen ausgenutzt werden konnten. Gepatchte Beispiele mit einer Bewertung von 8,8 betrafen ACPT Premium bis einschließlich Version 2.0.66, LatePoint bis einschließlich Version 5.7.3, Creator LMS bis einschließlich Version 1.2.21, FooSales bis einschließlich Version 1.43.0, FV Player 8 bis einschließlich Version 8.1.7, Groundhogg bis einschließlich Version 4.9, LifterLMS bis einschließlich Version 10.2.1 und Super Forms bis einschließlich Version 6.3.316. Ungepatchte Probleme mit einer Bewertung von 8,8 betrafen CodeBard Help Desk bis einschließlich Version 1.1.2, Content Visibility for Divi Builder bis einschließlich Version 5.03, Crowdfundly bis einschließlich Version 2.2.2, Taskbot bis einschließlich Version 6.6, Veeqo for WooCommerce bis einschließlich Version 2.2.8, Workreap Core bis einschließlich Version 3.4.5 und WP Duplicate bis einschließlich Version 1.1.11. Zu ihren Auswirkungen gehörten remote code execution, Datei-Uploads, privilege escalation und PHP object injection.
Eine umfangreiche Gruppe von Schwachstellen mit einer Bewertung von 8,1 betraf nicht authentifizierte local file inclusion oder PHP object injection in Themes. Zu den als ungepatcht aufgeführten Produkten gehörten Aalto bis einschließlich Version 1.8, Alliance bis einschließlich Version 3.11, Ambient bis einschließlich Version 1.7, Anesta bis einschließlich Version 1.5.3, Armania bis einschließlich Version 1.4.8, Asia Garden bis einschließlich Version 1.3.1, Avala bis einschließlich Version 1.1.4, Backhoe bis einschließlich Version 2.0, Balance bis einschließlich Version 1.12.0, Biolife bis einschließlich Version 3.2.3, Booklovers bis einschließlich Version 2.13.0, Boutique bis einschließlich Version 2.3.3, Buzz Stone bis einschließlich Version 1.0.2, Camelia bis einschließlich Version 1.2.15, Cardea bis einschließlich Version 2.3, CleanSkin bis einschließlich Version 1.5.0, Convex bis einschließlich Version 1.16.0, Drone Media bis einschließlich Version 2.2.0, Duka Market bis einschließlich Version 1.3.0, Dwell bis einschließlich Version 1.16.0, Edema bis einschließlich Version 1.2.2.2, Education Center bis einschließlich Version 3.6.12 und Equadio bis einschließlich Version 1.1.4. DirectoryPress bis einschließlich Version 3.6.27 war ebenfalls ungepatcht. Zu den gepatchten Beispielen mit einer Bewertung von 8,1 gehörten Advanced Form Integration bis einschließlich Version 2.9.0, AFFI bis einschließlich Version 1.0.10 und Booster for WooCommerce bis einschließlich Version 8.4.0.
Wordfence stellte außerdem Regeln für die firewall bereit, die vor gespeichertem XSS in WordPress Core 7.1 bis 7.1.2 im Zusammenhang mit ausstehenden Kommentaren sowie vor nicht authentifizierter SQL injection in Abandoned Cart Pro for WooCommerce bis einschließlich Version 10.8.0 im Zusammenhang mit dem meta_value des dauerhaften Warenkorbs für Gäste schützen. Nutzer von Premium, Care und Response erhielten diese Regeln sofort, während die kostenlose Version sie planmäßig mit einer Verzögerung von 30 Tagen erhalten sollte. Wordfence erklärte, Websites, die sein Plugin mit aktivierter Scan-Funktion verwenden, sollten eine Warnung erhalten haben, wenn betroffene Software erkannt wurde.
Websitebetreiber sollten gepatchte Produkte unverzüglich aktualisieren und ein betroffenes Plugin oder Theme deaktivieren oder entfernen, wenn kein Patch verfügbar ist. Dies gilt insbesondere für nicht authentifizierte Schwachstellen, für deren Ausnutzung kein Konto erforderlich ist. Vor Änderungen sollte eine getestete vollständige Sicherung erstellt und bestätigt werden, dass die Wiederherstellung funktioniert. Für Organisationen, die diese Arbeit nicht allein verwalten möchten, bietet AEU Hosting vollständig verwaltetes und durchgängig abgesichertes WordPress-Hosting, was für den Betrieb einer sicherheitskritischen WordPress-Installation unmittelbar relevant ist.