CVE-2026-18431: Avada und Fusion Builder erlauben Dateischreiben bis hin zur RCE

Kurzfassung

CVE-2026-18431 ist kritisch. Betroffen ist das WordPress-Theme Avada in Versionen bis einschließlich 7.16, aber nur wenn das Plugin Fusion Builder bis einschließlich 3.16 installiert und aktiv ist. Angreifer ohne Anmeldung können darüber Dateien auf dem Server ablegen. Im ungünstigsten Fall folgt daraus Remote Code Execution und damit die vollständige Übernahme der Website.

Für Betreiber im DACH-Raum ist das vor allem dann relevant, wenn WordPress geschäftskritisch läuft: Onlineshops, Agentur-Websites, Mandantenportale oder Corporate Sites mit Login-Funktionen. Wer Avada ohne Fusion Builder einsetzt, ist nach der vorliegenden Beschreibung nicht im betroffenen Pfad. Ob weitere Kombinationen existieren, nennt die Quelle nicht.

Was ist passiert?

Die Schwachstelle entsteht nicht in einem einzelnen Baustein, sondern in der Kette aus Theme und Plugin. Die Prüfungen für Berechtigung und Eingaben greifen an mehreren Stellen zu kurz. Dadurch kann ein externer Angreifer Inhalte so manipulieren, dass der Server am Ende Dateien schreibt, die er nie hätte annehmen dürfen.

Besonders heikel ist der Schritt von einem Schreibfehler zu ausführbarem PHP. Wenn es gelingt, eine PHP-Datei auf dem Webserver abzulegen und auszuführen, ist das kein kleiner Defekt mehr. Dann spricht man praktisch von einer vollständigen Kompromittierung der Anwendung.

Technische Details

Die NVD bewertet CVE-2026-18431 als kritisch. Als angreifbare Kombination nennt sie Avada bis einschließlich 7.16 zusammen mit Fusion Builder bis einschließlich 3.16. Die Ausnutzung soll ohne Authentifizierung möglich sein, verlangt aber bestimmte Inhalte, die von einem Administrator angelegt wurden. Genau diese Zusatzbedingung bremst den Angriff, sie nimmt ihm aber nicht den Ernst.

Im Kern geht es um Arbitrary File Write. Das ist mehr als ein klassischer Formularfehler, weil ein Angreifer damit eigene Dateien auf dem Zielsystem ablegen kann. Sobald Webserver-Rechte und PHP-Ausführung zusammenkommen, wird aus Dateischreiben schnell Codeausführung. Einen CVSS-Wert nennt der Auszug nicht; auch Details zur Angriffskette über die betroffenen Inhalte bleiben offen.

Wer ist betroffen?

Direkt betroffen sind nur WordPress-Installationen, auf denen beide Komponenten laufen und die Versionen im genannten Bereich liegen. Die reine Verbreitung von Avada sagt wenig über das echte Risiko aus. Die genannte Zahl von über 10.000 aktiven Installationen beschreibt die Gesamtverbreitung des Themes, nicht die Zahl verwundbarer Systeme.

Für Unternehmen in Deutschland, Österreich und der Schweiz ist das vor allem dort kritisch, wo WordPress öffentlich erreichbar ist und redaktionelle Inhalte regelmäßig gepflegt werden. Agenturen sollten Kundenprojekte prüfen, bei denen Avada als Basis-Theme läuft. Wer das Plugin Fusion Builder nur in Teilbereichen nutzt, sollte trotzdem nicht blind Entwarnung geben. Aktiv ist aktiv.

Empfohlene Maßnahmen

Patching hat Priorität eins. Prüfen Sie sofort, ob Avada und Fusion Builder in den genannten Versionen laufen, und setzen Sie verfügbare Aktualisierungen ein. Wenn ein Update noch nicht bereitsteht, ziehen Sie den betroffenen Stack vorübergehend aus dem Netz oder schränken Sie den Zugriff per WAF und Firewall so weit wie möglich ein.

Danach gehört die Installation in den forensischen Blick. Suchen Sie nach ungewöhnlichen PHP-Dateien, neuen Uploads und Änderungen an Theme- oder Plugin-Verzeichnissen. Logs auf verdächtige POST-Requests und unerwartete Dateioperationen sollten Sie ebenfalls prüfen. Wer Admins im Team hat, sollte die Inhalte kontrollieren, die laut Quelle als Voraussetzung für die Ausnutzung dienen. Alte Testseiten, Demo-Content und übernommene Layouts fallen in solchen Fällen oft zuerst auf.

Für den harten Betrieb gilt: Backup prüfen, Restore testen, Rechte im Dateisystem einschränken. WordPress-Instanzen, die öffentlich erreichbar sind, brauchen saubere Trennung zwischen Webserver-User und Schreibrechten. Ist die Website geschäftskritisch, sollte die Reaktion nicht beim Einspielen eines Updates enden. Erst wenn klar ist, dass keine Manipulation stattgefunden hat, ist die Arbeit erledigt.

Einschätzung von CyberSecurity-News.de

Die Lücke ist ernst, aber sie trifft nicht jede WordPress-Seite mit Avada. Genau das geht in der ersten Aufregung oft unter. Entscheidend ist die Kombination aus Theme, Plugin und Versionsstand. Wer nur auf den Produktnamen schaut, bewertet das Risiko falsch. Wer nur auf die Installationszahl schaut, ebenfalls.

Uns gefällt an der Lage wenig, dass die Schwachstelle erst dann voll ausnutzbar wird, wenn mehrere Bedingungen zusammenkommen. Das senkt die Trefferquote für Massenangriffe, macht den Vorfall für betroffene Betreiber aber keinen Deut angenehmer. Für Teams mit WordPress im Produktionsbetrieb ist das ein klassischer Patch-now-Fall. Wer erst morgen prüft, hat den falschen Zeitplan.

Fazit

CVE-2026-18431 kann aus einer WordPress-Installation einen offenen Server machen, wenn Avada und Fusion Builder in den genannten Versionen zusammenlaufen. Der Weg führt von fehlender Prüfung über Dateischreiben bis zur möglichen RCE. Das ist operativ relevant und gehört auf die Tagesliste, nicht in die Monatsplanung.

Wenn Sie Avada einsetzen, prüfen Sie heute noch die Versionen beider Komponenten. Liegt die Kombination im betroffenen Bereich, handeln Sie sofort und dokumentieren Sie die Prüfung sauber.