// HEISE ONLINE — CYBERSECURITY
Lücke in WordPress-Plug-in Elementor Pro: 6 Millionen Webseiten gefährdet
Eine kritische Sicherheitslücke im WordPress-Plug-in Elementor Pro ermöglicht die komplette Übernahme von WordPress.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Das WordPress-Plug-in Elementor Pro kommt auf mehr als sechs Millionen aktive Installationen, es ist also weit verbreitet. Daher wiegt eine nun entdeckte Schwachstelle umso schwerer, da sie nicht angemeldeten Angreifern aus dem Netz das Hochladen beliebiger Dateien erlaubt; am Ende einer Angriffskette steht dabei die vollständige Übernahme einer verwundbaren WordPress-Instanz.
Davor warnt das IT-Sicherheitsunternehmen Wordfence aktuell. Konkret erlaubt die Sicherheitslücke bösartigen Akteuren aus dem Netz ohne vorherige Authentifizierung, beliebige Dateien einschließlich ausführbarer PHP-Dateien auf anfällige Instanzen hochzuladen. Voraussetzung für einen Missbrauch der Lücke ist, dass eine Seite mit einem Elementor-Pro-Formular-Widget mit mindestens einem Datei-Hochladen-Feld veröffentlicht wurde, dieses muss nicht als „notwendig“ markiert sein. Auslöser ist demnach ein Logikfehler bei der Überprüfungsfunktion von Uploads (CVE-2026-32475, CVSS 9.8, Risiko „kritisch“).
Wordfence hat die Schwachstelle im Rahmen des Bug-Bounty-Programms des Unternehmens gemeldet bekommen. Der Melder erhält dafür 15.600 US-Dollar Belohnung – das ist ein ungewöhnlich hoher Betrag und deutet auf den Schweregrad in der Praxis für WordPress-Betreiber hin. Die IT-Sicherheitsforscher haben das Elementor-Team Ende Juli über das Sicherheitsleck informiert. Seit Mittwoch, 19. August, steht nun die fehlerbereinigte Softwareversion 4.2.2 bereit. Admins sollten prüfen, ob ihre Instanzen bereits den aktuellen Stand aufweisen und die Aktualisierung gegebenenfalls zügig nachholen.
Erst Anfang der Woche wurden Schwachstellen in den populären WordPress-Plug-ins Forminator Forms und Royal Elementor Addons bekannt. Auch dort ließ sich durch Hochladen ausführbarer Dateien ohne vorherige Authentifizierung Schadcode einschleusen und damit ganze Instanzen kompromittieren. Die Plug-ins kommen auf jeweils mehr als 600.000 aktive Installationen.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.