WordPress vulnerabilities lassen 43 Sicherheitslücken ungepatcht
WordPress vulnerabilities, die vom 19. bis 25. Oktober 2026 offengelegt wurden, betrafen laut Wordfence Intelligence 182 Plugins und 15 Themes. Die Datenbank erfasste in dieser Woche 268 vulnerabilities, darunter 43, die zum Zeitpunkt der Erfassung noch ungepatcht waren. Die übrigen 225 wurden als gepatcht aufgeführt. Wordfence schrieb die Offenlegungen 124 beteiligten Sicherheitsforschern zu.
Der Schweregrad konzentrierte sich auf die mittleren und oberen Bereiche: Sieben vulnerabilities waren kritisch, 69 hatten einen hohen, 186 einen mittleren und sechs einen niedrigen Schweregrad. Diese Einstufungen verwenden das Common Vulnerability Scoring System (CVSS), eine Standardskala zur Einschätzung des technischen Schweregrads einer Sicherheitslücke. Eine CVE, also eine Common Vulnerabilities and Exposures-Kennung, weist einer öffentlich dokumentierten Sicherheitslücke eine eindeutige Referenznummer zu. Ein hoher Wert bestätigt für sich genommen nicht, dass Angreifer eine vulnerability ausgenutzt haben, und Wordfence meldete für die hier hervorgehobenen Sicherheitslücken keine bestätigte Ausnutzung.
Für alle sieben kritischen WordPress vulnerabilities waren Patches verfügbar. Advanced Custom Fields: Extended und dessen Pro-Edition waren bis einschließlich Version 0.9.2.7 von unauthenticated remote code execution betroffen (CVE-2026-94267). Das bedeutet, dass sich ein Angreifer nicht anmelden müsste, bevor er versucht, Code auszuführen. Version 0.9.2.7 wies außerdem eine unauthenticated account-takeover privilege escalation auf (CVE-2026-94268). Die kostenlose Edition bis einschließlich 0.9.2.7 war zusätzlich von unauthenticated arbitrary file deletion betroffen (CVE-2026-112311). Alle drei wurden als kritisch eingestuft. Die ersten beiden erhielten einen Wert von 9,8, die Sicherheitslücke zur Dateilöschung einen Wert von 9,1.
Die übrigen kritischen Funde waren Prime Mover bis einschließlich 2.2.1 mit unauthenticated PHP object injection während des Suchens und Ersetzens eines Base64-codierten Kommentars bei einer Migration (CVE-2026-115806), WP Mailster bis einschließlich 1.9.1.0 mit unauthenticated arbitrary file upload (CVE-2026-111832), YOOtheme Pro in den Versionen 5.0.0 bis 5.0.52 ebenfalls mit unauthenticated arbitrary file upload (CVE-2026-102785) sowie weForms bis einschließlich 1.6.28 mit unauthenticated arbitrary file deletion (CVE-2026-111833). Jede dieser Sicherheitslücken erhielt einen Wert von 9,8, mit Ausnahme der weForms-Sicherheitslücke, die mit 9,1 bewertet wurde. PHP object injection tritt auf, wenn unsichere Daten wieder in ein Softwareobjekt umgewandelt werden und dadurch möglicherweise unbeabsichtigtes Verhalten der Anwendung ausgelöst wird.
Zu den 69 Funden mit hohem Schweregrad gehörten als gepatchte Beispiele unauthenticated PHP object injection in Duplicator bis einschließlich 1.5.17 und Duplicator Pro bis einschließlich 4.6.10 (CVE-2026-82814), SQL injection in Ajax Search Lite bis einschließlich 4.14.6 (CVE-2026-111852) sowie authentication bypass in Royal MCP vor Version 1.5.7 (CVE-2026-111958). SQL injection bezeichnet die Verwendung speziell präparierter Eingaben, um die Datenbankbefehle einer Website zu manipulieren. Weitere gepatchte Fälle mit hohem Schweregrad waren remote code execution in Royal Addons for Elementor bis einschließlich 1.7.1068, arbitrary PHP code execution in Classified Listing bis einschließlich 6.1.5 sowie zwei stored cross-site scripting-Sicherheitslücken in LiteSpeed Cache vor Version 7.9.2. Bei stored cross-site scripting wird schädlicher Browser-Code in Inhalten platziert, die später Besuchern oder Administratoren angezeigt werden.
Mehrere Produkte mit Sicherheitslücken hohen Schweregrads waren weiterhin ungepatcht. Wordfence führte unauthenticated local file inclusion in Academist Core bis einschließlich 1.4.1 und Your Dress bis einschließlich 1.4.1 auf. Participants Database bis einschließlich 2.7.8.5 wies separate Funde zu unauthenticated PHP object injection und SQL injection auf. EventON Subscriber bis einschließlich 1.4.5 hatte unauthenticated SQL injection über seinen E-Mail-Parameter. Ungepatchte PHP object injection betraf in den jeweils angegebenen Versionen außerdem die Produkte Hallelujah, Helion, Holistic Center, Hostme v2, HotLock, Little Birdies, Redy, Reprizo, Rhodos, Save Life, Vagabonds und ZenSoul. Hostme v2 bis einschließlich 7.0 und KALLYAS bis einschließlich 4.25.0 wiesen zusätzlich ungepatchte stored cross-site scripting-Sicherheitslücken auf.
Die häufigste Schwachstellenkategorie war missing authorization mit 75 Funden. Improper neutralization of input during web-page generation machte 69 Funde aus, gefolgt von deserialization of untrusted data mit 20, authorization bypass through a user-controlled key mit 16 und improper handling of special elements in SQL commands mit 13. Client-side enforcement of server-side security trat elfmal auf, sensitive information exposure zehnmal und improper privilege management achtmal. Zu den übrigen Kategorien gehörten improper control of code generation (sieben), improper authentication (sechs), cross-site request forgery (fünf), incorrect authorization (fünf), insufficient verification of data authenticity (fünf), PHP include or require filename control (vier), path restriction failures (vier), dangerous file uploads (vier), improper input validation (zwei) sowie jeweils ein Fall von guessable CAPTCHA, improper authorization, improper link resolution und uncontrolled resource consumption.
Wordfence stellte außerdem eine firewall-Regel für eine UpdraftPlus-Sicherheitslücke bereit, die Versionen bis einschließlich 1.26.11 betraf und als UDRPC key compromise beschrieben wurde. Ein web application firewall filtert Anfragen, bevor sie anfälligen Website-Code erreichen. Kunden von Wordfence Premium, Care und Response erhielten die Regel sofort, während das kostenlose Plugin sie nach einer Verzögerung von 30 Tagen erhalten sollte. Eine firewall-Regel ist eine zusätzliche Schutzebene und kein Ersatz für die Installation eines Sicherheitsupdates des Anbieters.
Laut Wordfence sollte der scanner Websites, auf denen das Plugin mit aktivierter Scan-Funktion läuft, benachrichtigen, wenn installierte Software mit einem Datenbankeintrag übereinstimmt. Die vulnerability-Oberfläche, die application programming interface (API) und die webhook-Integration sind für die private und kommerzielle Nutzung kostenlos verfügbar. Die API kann eine Kopie einer Datenbank mit mehr als 40.000 vulnerabilities bereitstellen, während webhooks Aktualisierungen senden können, wenn Einträge hinzugefügt oder geändert werden. Ein webhook ist eine automatische Nachricht, die ein Dienst an einen anderen sendet, wenn ein bestimmtes Ereignis eintritt.
Website-Betreiber sollten die installierten Plugin- und Theme-Versionen mit den betroffenen Versionsbereichen vergleichen, verfügbare Updates installieren und nicht mehr benötigte Software entfernen. Bei einer ungepatchten Komponente ist es sicherer, sie zu deaktivieren und zu ersetzen, als sie weiterhin ungeschützt zu betreiben – insbesondere, wenn für die Sicherheitslücke keine Anmeldung erforderlich ist. Vor dem Aktualisieren oder Entfernen wichtiger Website-Software sollte ein wiederherstellbares Backup erstellt werden; Änderungen sollten nach Möglichkeit getestet werden. Für Leser, die die Hosting-Ebene als Dienst verwalten lassen möchten, bietet AEU Hosting vollständig verwaltetes und durchgängig abgesichertes WordPress-Hosting an.
Die große Zahl der Offenlegungen zeigt außerdem, warum es nicht ausreicht, nur den WordPress core zu überprüfen. Plugins und Themes erweitern die Funktionen einer Website, doch jede installierte Komponente fügt Code hinzu, der überwacht und aktualisiert werden muss. Wenn kein Patch verfügbar ist, muss die betreffende Komponente zeitnah deaktiviert oder ersetzt werden.