// HEISE ONLINE — CYBERSECURITY
WordPress All-in-One WP Migration: Angreifer können Admin-Falle auslegen
Eine Sicherheitslücke im WordPress-Plug-in All-in-One WP Migration and Backup gefährdet potenziell 5 Millionen Websites. Ein Update löst das Problem.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Das WordPress-Plug-in All-in-One WP Migration and Backup ist verwundbar und Angreifer können im schlimmsten Fall die volle Kontrolle über mit dem CMS erstellte Websites erlangen. Eine dagegen abgesicherte Version steht zum Download bereit. Bislang gibt es keine Berichte, dass Angreifer die Lücke bereits auf dem Schirm haben. Attacken sind nicht ohne Weiteres möglich.
WordPress listet auf der Website des Plug-ins mehr als 5 Millionen aktive Installationen auf. Ist auf diesen Seiten noch nicht die reparierte Version 7.110 installiert, sind sie potenziell angreifbar. Alle vorigen Ausgaben sollen verwundbar sein.
Über die Sicherheitslücke (CVE-2026-19949 „hoch“) berichtet Wordfence in einem Beitrag.
Um die Attacke einzuleiten, benötigen Angreifer keine Authentifizierung. Es genügt, dass es auf einer öffentlichen WordPress-Website einen Beitrag gibt, der Trackbacks erlaubt. Angreifer können dann manipulierte Trackbacks absetzen. Die darin enthaltenen Daten werden zunächst nur in der Datenbank gespeichert und sind bislang nicht aktiv.
Erst wenn ein Administrator die Website mit dem betroffenen Plug-in exportiert und anschließend importiert, verarbeitet das Plug-in diese gespeicherten Daten fehlerhaft. Dadurch kann ein Angreifer den geheimen Plug-in-Schlüssel auslesen. Mit diesem Schlüssel kann er anschließend einen manipulierten Import anstoßen und so im schlimmsten Fall Schadcode auf dem Server ausführen.
Die Sicherheitsforscher geben an, dass die Entwickler von All-in-One WP Migration and Backup Mitte August von der Schwachstelle erfahren haben. Der Sicherheitspatch war fünf Tage später fertig und steht seit dem 20. August 2026 zum Download bereit.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.