// HEISE ONLINE — CYBERSECURITY
WordPress-Plug-in TranslatePress ermöglicht Übernahme bei 400.000 Installationen
Eine Lücke im Plug-in TranslatePress für WordPress gefährdet 400.000 Instanzen. Angriffe laufen derweil auf miniOrange SAML.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Auf mehr als 400.000 WordPress-Webseiten kommt das Plug-in TranslatePress zum Einsatz. IT-Forscher haben darin eine Sicherheitslücke entdeckt, die Angreifern die Übernahme von Konten einschließlich Admin-Konto und in der Folge die Übernahme der WordPress-Instanz ermöglicht. Im Plug-in miniOrange SAML klafft teils noch immer eine Sicherheitslücke, die ähnliche Auswirkungen hat – und IT-Sicherheitsforscher sehen bereits Angriffsversuche darauf.
Das IT-Sicherheitsunternehmen Wordfence warnt aktuell vor einem Sicherheitsleck in TranslatePress, durch das nicht authentifizierte Angreifer aus dem Netz an einen Passwort-Rücksetzen-Link etwa für Admin-Konten gelangen, das Passwort damit ändern und schließlich die WordPress-Instanz übernehmen können. Als Einschränkung merken die Analysten an, dass die Schwachstelle nur dann auftritt, wenn im Admin-Profil eine zweite Sprache eingestellt wurde. Da es sich um ein Übersetzungsmodul handelt, könnte die Wahrscheinlichkeit für diese Konfigurationsoption höher liegen (CVE-2026-19632, CVSS 9.8, Risiko „kritisch“). Version 3.3.2 und neuer des Plug-ins korrigieren diesen Fehler.
Das zur Zugangsverwaltung eingesetzte WordPress-Plug-in miniOrange SAML 2.0 ist von zwei Sicherheitslücken betroffen, die bereits im Juli beziehungsweise Mitte August bekannt wurden (CVE-2026-15981, CVSS 9.8, Risiko „kritisch“; CVE-2026-61979, CVSS 8.1, Risiko „hoch“). Die IT-Sicherheitsfirma Patchstack schreibt nun dazu, dass diese Lücke ebenfalls nicht authentifizierten Angreifern ermöglicht, als beliebige User in „/wp-admin“ zu landen und damit die Kontrolle über die Instanz zu übernehmen. Die Schwachstelle wurde zwar ausgebessert, jedoch könnten viele Unternehmenskunden nicht mitbekommen haben, dass ihre Instanzen anfällig sind und einige davon zudem noch veraltete, verwundbare Softwarestände aufweisen.
Das Problem rührt daher, dass unter dem einen WordPress-Listing nicht nur die Free-Version auftaucht, sondern insgesamt sieben Abonnement-Typen mit jeweils eigener Versionierung versammelt sind. Die öffentlichen Sicherheitsmeldungen haben jeweils nur die kostenlose Version abgedeckt. Die sechs Bezahlversionen wurden demnach ohne veröffentlichtes Changelog und ohne Sicherheitsmitteilung gepatcht, wodurch sie in keiner Schwachstellendatenbank gelistet wurden. Verwundbare Webseiten wurden daher fälschlicherweise als nicht betroffen gemeldet. Dazu kommt, dass eine anfällige 16er-Version keine verwalteten Updates kennt, Admins müssen sich dort manuell um das Herunterladen und Anwenden der Aktualisierung kümmern. Das Unternehmen DigitalOcean hat derweil in seinem Honeypot-Sensornetzwerk Angriffsversuche auf diese Schwachstellen beobachtet.
IT-Verantwortliche sollten daher schleunigst prüfen, ob sie die verwundbaren WordPress-Plug-ins einsetzen. Zudem müssen sie sicherstellen, dass sie die fehlerbereinigten Softwarestände installiert haben.
WordPress-Plug-ins fallen sehr häufig durch Schwachstellen auf. Ende vergangener Woche wurde etwa eine Sicherheitslücke im WordPress-Plug-in Elementor Pro bekannt, das auf mehr als 6 Millionen aktive Installationen kommt. Angreifer hätten dadurch WordPress-Instanzen vollständig übernehmen können.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.