Wordfence Bug-Bounty-Programm im Juni: 1.066 Meldungen, 42.553 $ ausgezahlt
Im Juni 2026 erhielt das Wordfence Bug-Bounty-Programm 1.066 Schwachstellen-Meldungen von 306 aktiven Sicherheitsforschern, ein Anstieg der Forscherzahl um 4,4 %, auch wenn die Gesamtzahl der Meldungen gegenüber Mai um 2,6 % zurückging. Das Programm zahlte 42.553 $ an Prämien aus, mit einem Durchschnitt von 230,02 $ pro validiertem Bericht im Scope und einer Höchstprämie von 5.200 $. Von den Meldungen wurden 185 als im Scope betrachtet, 1 als außerhalb des Scope, 578 abgelehnt und 302 als Duplikate eingestuft. Das Wordfence Threat Intelligence Team prüft jeden Bericht, koordiniert die Offenlegung mit Softwareanbietern über ein kostenloses Schwachstellen-Management-Portal und veröffentlicht bei Bedarf Firewall-Regeln.
Das erklärte Ziel des Programms ist es, Schwachstellen in WordPress-Plugins und -Themes zu finden und zu patchen, bevor Angreifer sie ausnutzen. Wordfence gibt an, dass Wordfence Premium-, Care- und Response-Kunden in Echtzeit Firewall-Schutz erhalten, wenn eine neue Regel veröffentlicht wird, während kostenlose Nutzer dieselbe Regel erst nach 30 Tagen erhalten. Im Juni wurden 7 neue Web Application Firewall (WAF)-Regeln veröffentlicht, ein Anstieg von 16,7 % gegenüber dem Vormonat. Der Bericht definiert „High-Threat“-Schwachstellen als Probleme, die zu einer vollständigen Kompromittierung der Website führen könnten, wie z. B. beliebige Datei-Uploads oder Remote Code Execution (RCE), die 25 oder mehr aktive Installationen sowie nicht authentifizierten oder gering authentifizierten Zugriff erfordern. „Häufige und gefährliche“ Probleme, einschließlich gespeichertem Cross-Site Scripting (XSS) und SQL Injection, müssen Software mit 500 oder mehr Installationen betreffen.
Die fünf höchsten Prämien im Juni unterstreichen schwerwiegende Authentifizierungs- und Dateiverarbeitungsfehler. Die höchste Einzelprämie von 5.200 $ ging an einen Forscher namens vtim für einen nicht authentifizierten Authentifizierungs-Bypass in UpdraftPlus: WP Backup & Migration Plugin, der Versionen bis 1.26.4 in der kostenlosen Edition und unter 2.26.5 in der Premium-Version betraf, bei einer Installationsbasis von 4 Millionen Websites. Eine Prämie von 2.048 $ deckte eine nicht authentifizierte Rechteausweitung in JetFormBuilder bis Version 3.6.2 über den Parameter `_jet_engine_booking_form_id` ab. Newfold-Plugins erhielten 1.950 $ für einen Authentifizierungs-Bypass, der durch leere Bearer-Token-Geheimnisse verursacht wurde und etwa 100.000 Installationen betraf. WPMU DEV Dashboard bis Version 5.0.0 erhielt 1.122 $ für einen Authentifizierungs-Bypass, der die beliebige Plugin-Installation (die zu RCE führt) durch einen gefälschten HMAC am Endpunkt `?wpmudev-hub=` ermöglichte. WPForms Pro bis Version 1.10.1.1 wurde mit 975 $ für ein nicht authentifiziertes beliebiges Dateischreiben über die Reihenfolge von Chunked-Uploads ausgezeichnet.
Über alle In-Scope-Meldungen im Juni hinweg war der häufigste Schwachstellentyp CWE-79: Cross-Site Scripting mit 60 Berichten und 5.710 $ Gesamtprämie (Durchschnitt 95,17 $). Path Traversal (CWE-22) folgte mit 21 Meldungen und 2.488 $, dann SQL Injection (CWE-89) mit 20 und 1.839 $. Die höchsten Durchschnittsprämien gingen jedoch an unsachgemäße Überprüfung kryptografischer Signaturen (CWE-347) mit 5.362,50 $ pro Bericht und unsachgemäße Authentifizierung (CWE-287) mit 2.826 $. Aufgeschlüsselt nach Authentifizierungsstufe machten nicht authentifizierte Schwachstellen 89 der gültigen Berichte aus und erzielten einen Durchschnitt von 359,80 $, während Bugs auf Abonnentenebene durchschnittlich 89,36 $, auf Beitragendenebene 49,73 $ und auf Autorenebene 18,83 $ einbrachten. Eine kleine Gruppe von 10 „benutzerdefinierten“ Authentifizierungsszenarien erzielte durchschnittlich 1.142,67 $. Auch die Installationsbasis spielte eine Rolle: Schwachstellen in Plugins mit 1.000.000 bis 4.999.999 aktiven Installationen zahlten durchschnittlich 1.502,25 $, während Software außerhalb des Repositorys (nicht im offiziellen WordPress-Repository) 670,73 $ zahlte und einen durchschnittlichen CVSS-Schweregrad von 8,52 aufwies.
Die Spitzenreiter der Forschungsgemeinschaft im Juni spiegeln unterschiedliche Stärken wider. Nach Anzahl der In-Scope-Meldungen führte daroo mit 9 Berichten und einer Durchschnittsprämie von 485,80 $, gefolgt von Rafie Muhammad (8, 208,13 $), CHOIGYEONGMIN (8, 21,63 $), 0xd4rk5id3 (7, 188,57 $) und Athiwat Tiprasaharn (Jitlada) (6, 14,17 $). Fünf Forscher erreichten einen perfekten durchschnittlichen CVSS-Score von 9,80: Khaled Alenazi (Nxploited) mit 2 Meldungen, Hieus mit 1, h0xilo mit 1, vtim mit 1 und Jiemook mit 2. Die Gesamtverdienste wurden angeführt von vtim (5.200 $), daroo (4.858 $), d.v4n_s3c (2.038 $), sorin vasile (1.950 $) und Rafie Muhammad (1.665 $). Kein Forscher stieg im Juni in die Elite- (1337) oder Resourceful-Stufe auf, und es waren keine Bug-Bounty-Beförderungen oder Bonus-Challenges aktiv.
Die kritischsten im Juni offengelegten Schwachstellen wurden aktiv in freier Wildbahn ausgenutzt. Everest Forms Pro bis Version 1.9.12 enthielt eine nicht authentifizierte Remote-Code-Execution-Schwachstelle in der Funktion `process_filter()` des Calculation Addons, die vom Benutzer übermittelte Formularfeldwerte zu einer PHP-Codezeichenkette verkettete, die ohne ordnungsgemäßes Escaping an `eval()` übergeben wurde. Angreifer konnten beliebigen PHP-Code einschleusen, indem sie einen präparierten Wert in ein beliebiges String-Formularfeld wie Text, E-Mail, URL, Auswahl oder Optionsfeld einreichten, wenn ein Formular die Funktion „Komplexe Berechnung“ verwendete. Forscher h0xilo erhielt 325 $ für den Bericht. Burst Statistics – Privacy-Friendly WordPress Analytics Versionen 3.4.0 bis 3.4.1.1 ermöglichten einen Authentifizierungs-Bypass und die Übernahme von Administratorkonten, weil die Funktion `is_mainwp_authenticated()` Anwendungspasswörter aus dem Authorization-Header falsch verarbeitete. Ein Angreifer, der einen Administrator-Benutzernamen kannte, konnte sich für eine einzelne Anfrage als dieser Administrator ausgeben, indem er ein beliebiges zufälliges Passwort sendete. Wordfence PRISM reichte diesen Bericht ein. Kirki – Freeform Page Builder, Website Builder & Customizer Versionen 6.0.0 bis 6.0.6 akzeptierten eine beliebige E-Mail-Adresse bei Passwort-Reset-Anfragen, sodass nicht authentifizierte Angreifer den Passwort-Reset-Link eines beliebigen Benutzers an ihr eigenes Postfach senden lassen konnten. Forscher CHOIGYEONGMIN erhielt 6.436 $ für diesen Bericht. Der UpdraftPlus-Authentifizierungs-Bypass über den UpdraftCentral-`udrpc`-Mechanismus war ebenfalls kritisch und ermöglichte es nicht authentifizierten Angreifern, die Authentifizierung auf Websites mit installiertem Plugin vollständig zu umgehen.
Für Website-Betreiber ist der Juni-Bericht eine Erinnerung daran, dass Plugin-Updates nicht optional sind. Das Wordfence-Programm existiert, um diese Schwachstellen zu beheben und den Schutz vor der öffentlichen Offenlegung in die Firewall zu bringen, aber Website-Betreiber müssen gepatchte Versionen dennoch zeitnah einspielen. Für diejenigen, die Plugin-Updates, Firewalls und Backups lieber nicht selbst verwalten möchten, automatisiert ein verwalteter WordPress-Host wie AEU Hosting (albhosting.eu) die Sicherheitshärtung, automatische Backups, SSL-Zertifikatsverwaltung und Leistungsoptimierung, mit fachkundigem Support, der bei der Reaktion auf solche Schwachstellen hilft.