Kurzfassung
Mehrere WordPress-Plugins stehen wegen kritischer Schwachstellen unter Druck. Für den DACH-Raum ist vor allem relevant, dass zwei der betroffenen Erweiterungen laut WordPress.org zusammen bis zu 9.000 Installationen haben: Frontend Admin by DynamiApps und MStore API – Create Native Android & iOS Apps On The Cloud. Dazu kommen weitere Lücken in Amelia, Hummingbird, ComboBlocks und MemberDash.
Die Lage ist uneinheitlich. Einige Fehler erlauben eine komplette Kontenübernahme ohne Anmeldung, andere führen bis zum Remote Code Execution oder zu einer Rechteausweitung. Wer eines der betroffenen Plugins einsetzt, sollte die Versionen jetzt gegenprüfen und Priorität nach Reichweite und Exploit-Impact setzen.
Was ist passiert?
Die NVD führt sechs kritische Schwachstellen in verschiedenen WordPress-Plugins auf. Betroffen sind CVE-2026-9055 in Amelia, CVE-2026-13447 in MStore API, CVE-2026-83627 in Hummingbird, CVE-2024-11080 in ComboBlocks, CVE-2026-16310 in MemberDash und CVE-2026-75816 in Frontend Admin by DynamiApps.
Der gemeinsame Nenner ist unangenehm: Mehrere dieser Lücken lassen sich ohne gültiges Konto ausnutzen. Das reicht von Passwortänderungen über manipulierbare Authentifizierung bis hin zu Codeausführung auf dem Server. Für Betreiber von WordPress-Instanzen ist das kein theoretisches Problem, sondern ein klassischer Patch-Fall mit kurzer Reaktionszeit.
Technische Details
CVE-2026-9055 betrifft Amelia in den Versionen 8.0 bis 9.6.2. Ein unzureichend geprüfter Parameter im Kunden-Update-Endpunkt erlaubt es Angreifern, ihre Rolle auf „manager“ zu heben. Danach lässt sich über einen weiteren Schritt ein WordPress-Nutzer mit Manager-Rechten erzeugen und schließlich ein Administratorkonto übernehmen.
CVE-2026-13447 trifft MStore API bis einschließlich Version 4.20.0. Hier fehlt die kryptografische Signaturprüfung bei Firebase-JWTs. Das Plugin wertet Token-Inhalte aus, prüft aber die Signatur nicht gegen die echten Google-Schlüssel. Folge: Angreifer können Tokens fälschen, sich als beliebige Telefonnummer ausgeben und so Konten übernehmen oder neue Konten anlegen.
CVE-2026-83627 in Hummingbird ist heikler, als es auf den ersten Blick wirkt. Die Lücke steckt im Page-Cache-Logging und kann zu Remote Code Execution führen, wenn Page Caching samt Debug Log aktiviert ist. Die Schwachstelle ist also an eine nicht standardmäßige Konfiguration gebunden. Trotzdem bleibt sie kritisch, weil ein erfolgreicher Angriff direkt auf Serverebene landet.
CVE-2024-11080 betrifft ComboBlocks in den Versionen 2.2.32 bis 2.3.1. Hier geht es um unauthentifizierte Hook-Injection. Wenn keine zusätzlichen Schutzmechanismen greifen, können Angreifer Aktionen über WordPress-Hooks auslösen. Das ist in der Praxis oft der Einstieg in Manipulationen, die weit über den eigentlichen Formular-Workflow hinausgehen.
CVE-2026-16310 liegt in MemberDash bis einschließlich 1.8.5. Ein nicht korrekt validierter Parameter erlaubt es, das Passwort eines beliebigen WordPress-Nutzers zu ändern. Auch Administratoren sind betroffen. Das Opfer bekommt davon laut Beschreibung keine Warnung. Für Betreiber heißt das: Kontoübernahme ohne viel Lärm.
CVE-2026-75816 in Frontend Admin by DynamiApps betrifft alle Versionen bis einschließlich 3.29.12. Die Schwachstelle entsteht durch fehlende Rechte- und Besitzprüfungen beim Verarbeiten von Formularwerten. Ein nicht numerischer Post-Identifier kann die Autorisierungsprüfung aushebeln. Damit lassen sich E-Mail-Adressen von Konten überschreiben, danach greift der normale WordPress-Reset-Flow. Das endet im vollständigen Account-Takeover.
Wer ist betroffen?
Am stärksten ins Gewicht fallen die Plugins mit größerer Verbreitung. Frontend Admin by DynamiApps und MStore API – Create Native Android & iOS Apps On The Cloud haben laut WordPress.org jeweils rund 9.000 aktive Installationen. Das sind nicht automatisch 9.000 verwundbare Websites, aber die Reichweite macht die beiden Meldungen für den Markt relevant.
Bei Amelia, ComboBlocks und MemberDash fällt die Verbreitung deutlich kleiner aus: rund 100+, 200+ beziehungsweise 3.000+ aktive Installationen. Für die meisten Leser ist das kein Massenereignis. Für die betroffenen Betreiber bleibt es trotzdem ein akutes Thema, weil die Ausnutzung teils ohne Anmeldung möglich ist.
Hummingbird ist ein Sonderfall. Die RCE setzt voraus, dass Page Caching mit Debug Log aktiv ist und der Log-Datei-Zustand passt. Wer diese Funktion nicht nutzt, reduziert das Risiko deutlich. Wer sie produktiv laufen lässt, sollte die Konfiguration sofort prüfen.
Empfohlene Maßnahmen
1. Betroffene Versionen sofort identifizieren. Prüfen Sie in WordPress, welche Plugin-Version tatsächlich installiert ist. Bei mehreren Sites hilft ein zentraler Abgleich über das eingesetzte Management-Tool oder per Bestandserhebung auf den Hosts.
2. Plugins aktualisieren, sobald Patches verfügbar sind. Das gilt besonders für Frontend Admin by DynamiApps, MStore API und Amelia, weil hier eine Kontoübernahme ohne gültige Anmeldung beschrieben ist. Wer diese Erweiterungen produktiv nutzt, sollte nicht auf den nächsten regulären Wartungszyklus warten.
3. Hummingbird-Konfiguration härten. Wenn Page Caching mit Debug Log nicht zwingend gebraucht wird, schalten Sie es ab. Löschen Sie vorhandene Log-Dateien und prüfen Sie, ob der Webserver auf wp-content/wphb-logs/ überhaupt Zugriff gewährt. Der Hinweis auf die nicht standardmäßige Aktivierung ist kein Freifahrtschein.
4. Nach verdächtigen Kontenänderungen suchen. Bei Lücken wie CVE-2026-16310 und CVE-2026-75816 lohnt ein Blick auf geänderte E-Mail-Adressen, Passwort-Resets und neue Administratoren. Wer Monitoring für WordPress-User-Änderungen hat, sollte die Events jetzt auswerten.
5. Betroffene Instanzen isolieren, wenn kein Patch sofort greift. Das ist vor allem für öffentlich erreichbare Shops, Portale und Kundenfrontends sinnvoll. Ein temporärer Deaktivierungs- oder Wartungsmodus ist oft der sauberste Weg, wenn ein Update nicht direkt eingespielt werden kann.
Einschätzung von CyberSecurity-News.de
Die Meldung ist ernst, aber nicht jeder Fund ist gleich ein Großalarm. Für die meisten WordPress-Betreiber ist vor allem die Kombination aus geringer Hürde und hohem Impact relevant. Wenn eine Lücke ohne Authentifizierung zur Kontoübernahme führt, reicht ein kleines Zeitfenster für echten Schaden.
Die Kommunikation rund um solche WordPress-Funde ist oft fragmentiert. Hier fällt außerdem auf, dass die Verbreitung teilweise klein ist, die Schwachstellen aber technisch sehr gefährlich sind. Genau das macht eine nüchterne Bewertung nötig: kleine Installationsbasis, aber bei produktiv genutzten Seiten hoher Druck auf schnelle Updates. Wer die betroffenen Plugins im Einsatz hat, sollte jetzt nicht auf Details aus späteren Blogposts warten.
Fazit
Die sechs CVEs zeigen ein bekanntes Muster im WordPress-Umfeld: Fehler in Berechtigungsprüfungen, Token-Validierung oder Formularlogik kippen schnell in Kontoübernahmen oder Codeausführung. Besonders relevant sind CVE-2026-75816 und CVE-2026-13447, weil sie bei verbreiteten Plugins bis zu 9.000 Installationen betreffen können.
Admins sollten die installierten Versionen jetzt abgleichen, Updates priorisieren und bei Hummingbird die Debug-Log-Funktion prüfen. Wer betroffene Plugins nicht sofort patchen kann, muss das Risiko zumindest begrenzen. Auf produktiven WordPress-Systemen ist Abwarten hier die schlechte Option.
