Kurzfassung

Mit The Events Calendar ist eine WordPress-Erweiterung mit über 600.000 Installationen von einer kritischen Schwachstelle betroffen, wobei je nach eingesetzter Version und Konfiguration bis zu diese Websites potenziell angreifbar sein können. CVE-2026-78006 erlaubt Remote Code Execution ohne Anmeldung und erreicht einen CVSS-Wert von 9.8. Betroffen sind nach aktuellem Stand alle Versionen bis einschließlich 6.17.4.

Was ist passiert?

Für das WordPress-Plugin The Events Calendar wurde eine kritische Schwachstelle unter der Kennung CVE-2026-78006 veröffentlicht. Das Problem kann es Angreifern ermöglichen, aus der Ferne eigenen Code auf dem Server auszuführen.

Besonders relevant ist die Kombination aus hoher Verbreitung und sehr einfacher Ausnutzbarkeit: Der Angriff läuft über das Netzwerk, erfordert keine Authentifizierung, keine Nutzerinteraktion und laut CVSS nur geringe Komplexität. Für Unternehmen, Agenturen und Betreiber von Veranstaltungswebsites im DACH-Raum ist das damit ein Fall für die kurzfristige Prüfung.

Die Ausnutzung ist allerdings an Bedingungen geknüpft. Kommentare müssen auf Event-Seiten aktiviert und dort sichtbar sein. Das senkt die praktische Angriffsfläche gegenüber der reinen CVSS-Bewertung, macht die Lücke aber keineswegs harmlos.

Technische Details

NVD bewertet CVE-2026-78006 mit CVSS 9.8 und dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Die Schwachstelle liegt in der Funktion is_safe_widget_instance. Die Schutzmechanismen reichen dort nicht aus und lassen sich umgehen.

Beschrieben ist eine Kette, bei der PHP-Magic-Methods bereits während des Vorverarbeitens ausgelöst werden. Gleichzeitig kann enable_rendering_widget_copied() ein gültiges Integritätsattribut für wp_hash erzeugen, bevor unserialize() erreicht wird. Am Ende kann ein nicht authentifizierter Angreifer kontrollierte Daten in einen verwundbaren Verarbeitungspfad einschleusen.

Als Einfallstor dient laut den veröffentlichten technischen Angaben die V2-Einzelansicht von Events. Dort wird do_blocks() auf gepuffertes Kommentar-HTML angewendet. WordPress liefert für einen noch nicht freigeschalteten Kommentar eine Moderations-Hash-URL zurück, über die der Verfasser seinen ausstehenden Kommentar sofort selbst aufrufen kann. So kann präpariertes Block-Markup den verwundbaren Codepfad erreichen, bevor eine Moderation greift.

Wer ist betroffen?

Betroffen ist The Events Calendar für WordPress in allen Versionen bis einschließlich 6.17.4. Ob bereits eine fehlerbereinigte Version bereitsteht, ist in den vorliegenden öffentlich zugänglichen Angaben nicht mitgeteilt.

Nicht jede Installation des Plugins ist automatisch ausnutzbar. Entscheidend ist, ob Kommentare auf Event-Seiten aktiviert und sichtbar sind. Trotzdem ist die Reichweite hoch, weil die Erweiterung laut WordPress.org auf rund 600.000 Websites aktiv ist. Gerade bei gemeinsam betriebenen Hosting-Umgebungen, Agentur-Stacks und Mehrmandanten-Setups kann eine erfolgreiche Server-Code-Ausführung schnell weitere Systeme berühren.

Empfohlene Maßnahmen

Prüfen Sie zuerst, ob The Events Calendar überhaupt installiert ist und welche Version läuft. Alles bis 6.17.4 sollte als potenziell verwundbar behandelt werden.

Priorität 1: Wenn ein Sicherheitsupdate verfügbar ist, spielen Sie es umgehend ein. Da kein Hersteller-Hinweis mit Patch-Informationen vorliegt, sollten Admins im WordPress-Backend und in den offiziellen Update-Kanälen aktiv nach einer neueren Version suchen.

Priorität 2: Falls ein sofortiges Update nicht möglich ist, deaktivieren Sie Kommentare auf Event-Seiten bzw. schalten Sie die Sichtbarkeit dort ab. Das adressiert die in den technischen Angaben genannte Voraussetzung für die Ausnutzung.

Priorität 3: Kontrollieren Sie Webserver- und PHP-Logs auf ungewöhnliche Zugriffe rund um Kommentar-URLs, Event-Einzelseiten und auffällige POST-Anfragen. Achten Sie außerdem auf neue Administrator-Konten, veränderte Theme- oder Plugin-Dateien, unbekannte Cron-Jobs und verdächtige PHP-Dateien in Upload-Verzeichnissen.

Priorität 4: Wenn Sie das Plugin nicht zwingend benötigen, ist eine temporäre Deaktivierung bis zur Klärung ein vertretbarer Schritt. Bei geschäftskritischen Veranstaltungsseiten sollten Sie diese Entscheidung gegen Betriebsfolgen abwägen.

Einschätzung von CyberSecurity-News.de

Die technische Tragweite ist hoch: unauthentifizierte Remote Code Execution in einem weit verbreiteten WordPress-Plugin ist immer ernst zu nehmen. Der CVSS-Wert von 9.8 passt zur beschriebenen Angriffskette, auch wenn die Bedingung mit aktivierten und sichtbaren Kommentaren die real angreifbare Basis einschränkt.

Problematisch ist die derzeit dünne Informationslage für Betreiber. Es ist öffentlich klar benannt, welche Versionen betroffen sind und unter welchen Bedingungen die Lücke greift. Ob bereits ein Patch verfügbar ist oder welche kurzfristigen Herstellerempfehlungen gelten, bleibt hier offen. Für Admins bedeutet das: nicht auf weitere Einordnung warten, sondern Konfiguration und Version sofort prüfen.

Im Vergleich zu vielen WordPress-Meldungen ist das kein Routinefund. Die Kombination aus möglicher Serverübernahme und einer installierten Basis von rund 600.000 Websites macht die Schwachstelle auch dann relevant, wenn nur ein Teil dieser Installationen praktisch ausnutzbar ist.

Fazit

Wer The Events Calendar einsetzt, sollte CVE-2026-78006 heute prüfen. Besonders dringlich ist das bei Versionen bis 6.17.4 und aktivierten Kommentaren auf Event-Seiten.

Spielen Sie ein verfügbares Update sofort ein oder entschärfen Sie die Angriffsfläche kurzfristig über die Kommentar-Funktion. Danach sollten Sie Logs und Dateisystem gezielt auf Anzeichen einer Kompromittierung kontrollieren.

Quellenangabe

Weiterführende Informationen: NVD-Eintrag zu CVE-2026-78006