Schwachstelle im Backuply WordPress plugin ermöglicht die Übernahme von Websites
Eine Schwachstelle im Backuply WordPress plugin kann es einem Angreifer mit einem gewöhnlichen Abonnentenkonto ermöglichen, schädliche Datenbankanweisungen einzuschleusen, die später ausgeführt werden, wenn ein Administrator ein Backup wiederherstellt. Laut Wordfence betrifft die Schwachstelle alle Backuply-Versionen bis einschließlich 1.5.8 und gefährdet potenziell mehr als 600.000 aktive Installationen. Die vollständig gepatchte Ausgabe ist Version 1.5.9.
Das Problem wird als CVE-2026-93953 geführt und hat im Common Vulnerability Scoring System (CVSS) eine mit „Hoch“ eingestufte Bewertung von 8,0. CVSS ist eine Standardskala zur Beschreibung des Schweregrads einer Sicherheitslücke. Es handelt sich um eine second-order SQL injection. Das bedeutet, dass schädliche Datenbankbefehle bei einer Aktion gespeichert, aber erst ausgeführt werden, wenn eine separate Aktion die gespeicherten Inhalte später verarbeitet.
Laut Wordfence kann ein authentifizierter Angreifer mit Abonnentenzugriff oder höheren Berechtigungen den Payload im Feld „Biographical Info“ seines WordPress-Profils platzieren. WordPress speichert diese Biografie als Klartext in der Tabelle wp_usermeta. Backuply nimmt sie anschließend als escaped und in Anführungszeichen gesetzten Wert in einen SQL dump auf, also in eine Datei mit Datenbankbefehlen, die zum Wiederaufbau der Datenbank verwendet werden. In diesem Stadium wird die Biografie als Daten gespeichert, und der Angriff wurde noch nicht ausgeführt.
Der gefährliche Schritt erfolgt während der Wiederherstellung. Backuply führt jede vollständige Anweisung aus dem Dump aus und verwendet eine nicht verankerte regular expression – eine Regel für den Textabgleich, die nicht auf den Anfang der Anweisung beschränkt ist –, um den alten WordPress table prefix zu identifizieren. Ein table prefix ist der gemeinsame Anfang der Namen von WordPress-Datenbanktabellen, beispielsweise der Teil vor „options“. Wordfence stellte fest, dass die regular expression nicht auf einen echten CREATE TABLE-Header beschränkt ist und Werte in Anführungszeichen nicht ignoriert. Daher kann sie speziell präparierten Text innerhalb der gespeicherten Biografie erfassen.
Wenn dieselbe Anweisung die Zeichenfolge backuply_version enthält, wird der als vermeintlicher table prefix erfasste Text ohne Validierung in eine zweite UPDATE query eingefügt. Ein Angreifer kann die Biografie daher so gestalten, dass das erfasste Material eine vollständige UPDATE-Anweisung für die Datenbank statt eines echten Präfixes ist. Ein Kommentarzeichen am Ende bewirkt, dass der verbleibende Abfragetext des plugins ignoriert wird, sodass die vom Angreifer kontrollierte Anweisung mit vollständigen Datenbankberechtigungen ausgeführt wird.
Der demonstrierte Payload ändert zwei Records in der Tabelle wp_options. Er setzt default_role auf administrator und users_can_register auf 1. Durch die erste Einstellung wird Administrator zur Rolle, die einem neuen Konto zugewiesen wird, wenn keine Rolle ausdrücklich angegeben ist. Die zweite Einstellung aktiviert die öffentliche Benutzerregistrierung. Wordfence weist darauf hin, dass wp_options vor wp_usermeta wiederhergestellt wird. Daher sind die geänderten Einstellungen bereits vorhanden, wenn die eingeschleuste query ausgeführt wird, und bleiben nach Abschluss der Wiederherstellung bestehen.
Nach der Wiederherstellung kann der Angreifer über das reguläre WordPress-Registrierungsformular ein weiteres Konto erstellen. Da die Registrierung geöffnet und Administrator die Standardrolle ist, erhält dieses Konto die vollständige administrative Kontrolle über die Website. Die eingeschleuste query wird innerhalb einer INSERT-Operation ausgeführt und gibt dem Angreifer keine Antwort zurück. Diese Technik dient daher dazu, Datenbank-Records zu verändern, statt bestehende Informationen direkt abzurufen.
Es gibt eine wichtige Voraussetzung: Der Administrator muss ein Datenbank-Backup wiederherstellen, das erstellt wurde, nachdem die schädliche Biografie gespeichert worden war. Das bloße Eintragen der Biografie führt das SQL nicht aus. Wordfence hält das Szenario dennoch für bedeutsam, da das Erstellen und Wiederherstellen von Backups die zentrale Funktion von Backuply ist und die Wiederherstellung somit eine normale administrative Tätigkeit darstellt.
Wordfence erhielt die Meldung am 17. September 2026 über sein Bug Bounty Program, bestätigte den Proof of Concept am 19. September und zahlte dem Sicherheitsforscher 1.352 US-Dollar. Am 24. September stellte das Unternehmen Nutzern von Wordfence Premium, Wordfence Care und Wordfence Response eine firewall rule gegen bekannte Exploits bereit. Eine firewall rule ist eine Filteranweisung, die entsprechende schädliche Anfragen blockieren soll. Wordfence meldete die Schwachstelle am 28. September dem Backuply-Team, und der Entwickler veröffentlichte Version 1.5.9 am 1. Oktober. Websites mit der kostenlosen Wordfence-Ausgabe sollten dieselbe firewall rule am 24. Oktober erhalten, 30 Tage nach den kostenpflichtigen Ausgaben.
Administratoren sollten Backuply auf 1.5.9 oder eine neuere Version aktualisieren, bevor sie ein Datenbank-Backup wiederherstellen. Sie sollten außerdem die WordPress-Registrierungseinstellungen und die Administratorkonten überprüfen, insbesondere wenn ein Backup wiederhergestellt wurde, während eine betroffene Version installiert war. Eine firewall rule kann eine zusätzliche Schutzebene bieten, ersetzt jedoch nicht die Installation der korrigierten plugin-Version.
Für Websitebetreiber, die die WordPress-Sicherheit nicht allein verwalten möchten, bietet AEU Hosting durchgängig abgesichertes managed WordPress hosting an. Unabhängig vom Hosting-Modell besteht die direkte Reaktion auf diese Schwachstelle darin, Backuply 1.5.8 oder eine ältere Version durch die gepatchte Version zu ersetzen und die Website auf unerwartete Administratorzugriffe zu überprüfen.