Kurzfassung
CVE-2026-11613 betrifft das WordPress-Plugin Filter Everything — WordPress & WooCommerce Filters und damit eine Erweiterung mit über 50.000 aktiven Installationen. Nach Angaben der Quelle sind Versionen bis einschließlich 5.1.2 anfällig, aber nur unter einer bestimmten Konfiguration. Für Betreiber heißt das: nicht pauschal in Panik verfallen, aber gezielt prüfen, ob das Plugin im Einsatz ist und ob die verwundbare Template-Option aktiv ist.
Die Schwachstelle ist kritisch, weil ein nicht authentifizierter Angreifer darüber lokale PHP-Dateien einbinden und ausführen kann. Das kann Zugriffsbeschränkungen aushebeln, sensible Daten offenlegen oder im ungünstigen Fall zur Codeausführung führen.
Was ist passiert?
Im Plugin steckt eine Local-File-Inclusion-Lücke. Ausgelöst wird sie über den Parameter custom_loop_template. Laut Quelle greift der Fehler nur dann, wenn loop_templates auf custom-template gesetzt ist. Genau diese Einschränkung ist wichtig, denn sie reduziert die Zahl der real gefährdeten Installationen deutlich.
Der CVE-Eintrag nennt als betroffene Versionen alle Ausgaben bis einschließlich 5.1.2. Ob neuere Releases bereits gefixt sind, geht aus der vorliegenden Information nicht hervor. Wer das Plugin produktiv betreibt, sollte die eigene Version und die Konfiguration sofort gegenprüfen.
Technische Details
Local File Inclusion bedeutet in diesem Fall: Das Plugin verarbeitet einen Pfad oder Dateibezeichner so, dass ein Angreifer ihn missbrauchen kann, um Dateien vom Server einzubinden. Besonders heikel ist hier der Hinweis auf PHP-Dateien. Wenn ein Angreifer eine Datei mit PHP-Inhalt auf den Server bekommt und diese anschließend einbinden kann, wird aus einer LFI schnell eine direkte Ausführung von Schadcode.
Die Quelle nennt drei mögliche Folgen: Umgehung von Zugriffskontrollen, Auslesen sensibler Informationen und Codeausführung. Das ist keine theoretische Fußnote. Auf WordPress-Instanzen mit Administrationszugang, Upload-Funktionen oder schlecht gehärteten Verzeichnissen kann so etwas sehr schnell ernst werden.
Wer ist betroffen?
Betroffen sind nur Websites, die Filter Everything — WordPress & WooCommerce Filters in einer Version bis 5.1.2 einsetzen und zugleich die verwundbare Template-Konfiguration aktiviert haben. Die Gesamtverbreitung liegt bei rund 50.000 aktiven Installationen. Das ist die Reichweite des Plugins, nicht die Zahl der tatsächlich angreifbaren Seiten.
Für viele kleine Websites dürfte das Risiko trotzdem begrenzt bleiben, wenn das Plugin nicht genutzt wird oder die kritische Option deaktiviert ist. Anders sieht es bei Agenturen, Shops und Unternehmensseiten aus, auf denen WordPress-Plugins oft breit eingesetzt und selten sauber inventarisiert werden. Genau dort gehen solche Lücken im Alltag gern unter.
Empfohlene Maßnahmen
Wer das Plugin einsetzt, sollte zuerst die Version prüfen und auf einen Stand aktualisieren, der die Schwachstelle behebt. Falls noch kein Patch verfügbar ist oder die Update-Informationen unklar bleiben, das Plugin vorübergehend deaktivieren oder die betroffene Funktion abschalten. Danach gehört die Installation in eine kurze Nachkontrolle: Gibt es verdächtige PHP-Dateien, ungewöhnliche Logeinträge oder unerklärliche Änderungen an Templates?
Für Betreiber mit mehreren WordPress-Instanzen gilt: Plugin-Inventar ziehen, Versionen abgleichen, Exponierung bewerten. Gerade bei Shops und Mandanten-Umgebungen reicht es nicht, nur die Hauptseite anzusehen. Wer auf saubere Dokumentation setzt, spart im Ernstfall viel Zeit.
Einschätzung von CyberSecurity-News.de
Die Lücke ist technisch ernst zu nehmen, aber die Meldung wirkt auf den ersten Blick größer, als sie im Alltag vieler Leser sein dürfte. Der Grund ist die enge Auslösebedingung. Trotzdem bleibt das Risiko hoch genug, um zügig zu handeln, weil LFI mit möglicher PHP-Ausführung in produktiven WordPress-Installationen selten harmlos bleibt.
Unschön ist die typische Informationslage bei Plugin-Schwachstellen: viel Reichweite, wenig Kontext, und oft erst spät Klarheit über die tatsächliche Ausnutzbarkeit. Genau deshalb sollten Admins sich nicht auf Schlagzeilen verlassen, sondern die eigene Instanz prüfen. Wer das Plugin gar nicht nutzt, kann die Meldung in Ruhe abhaken. Wer es nutzt, sollte heute noch nachsehen.
Fazit
CVE-2026-11613 ist eine kritische Schwachstelle in einem weit verbreiteten WordPress-Plugin. Die 50.000+ Installationen machen die Meldung relevant, aber nicht jede davon ist automatisch verwundbar. Entscheidend sind Version und Konfiguration.
Für DACH-Umgebungen mit WordPress- und WooCommerce-Betrieb heißt das: prüfen, aktualisieren, Konfiguration entschärfen, Logs kontrollieren. Mehr braucht es oft nicht. Aber ohne diese drei Schritte bleibt das Risiko offen.
Quellenangabe
NVD-Eintrag zu CVE-2026-11613: https://nvd.nist.gov/vuln/detail/CVE-2026-11613
