Kurzfassung

Mehrere WordPress-Erweiterungen weisen derzeit schwerwiegende Schwachstellen auf. Besonders relevant ist All-in-One WP Migration and Backup, eine Erweiterung mit über 5 Millionen Installationen, bei der je nach Konfiguration bis zu viele Websites potenziell betroffen sein können; für die zusammengefasste Meldung wird ein Schweregrad von CVSS 8.0, hoch genannt.

Im Mittelpunkt stehen acht Lücken: CVE-2026-81810, CVE-2026-13354, CVE-2026-85017, CVE-2026-92619, CVE-2026-87909, CVE-2026-76554, CVE-2026-76790 und CVE-2026-85574. Die Bandbreite reicht von Cross-Site-Scripting über Rechteausweitung bis hin zu möglicher Codeausführung auf dem Server.

Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn WordPress intern dezentral betrieben wird, mehrere Redakteurs- oder Subscriber-Konten existieren oder Agenturen und Fachabteilungen Plugins eigenständig verwalten.

Was ist passiert?

In kurzer Folge wurden mehrere neue Schwachstellen in verbreiteten WordPress-Plugins bekannt. Die größte praktische Relevanz hat dabei All-in-One WP Migration and Backup, weil die Erweiterung laut WordPress.org auf über 5 Millionen Websites aktiv ist. Diese Zahl beschreibt die gesamte Verbreitung des Plugins, nicht die Zahl der tatsächlich angreifbaren Installationen.

Bei All-in-One WP Migration and Backup betrifft CVE-2026-81810 Versionen vor 7.111. Die Lücke erlaubt unter bestimmten, nicht standardmäßigen Rollenkonfigurationen eine Rechteausweitung bis hin zu Administratorrechten. Voraussetzung ist, dass ein Administrator Export-Rechte an eine Rolle vergeben hat, die zwar exportieren, aber eigentlich nicht importieren darf.

Die übrigen Meldungen betreffen andere WordPress-Erweiterungen, die oft in spezialisierten Szenarien eingesetzt werden: Asset CleanUp: Page Speed Booster mit CVE-2026-13354, Unlimited Elements For Elementor mit CVE-2026-85017, Booking Calendar mit CVE-2026-92619, WP Photo Album Plus mit CVE-2026-87909, WP Import Export Lite mit CVE-2026-76554, Estatik Real Estate Plugin mit CVE-2026-76790 und Unbounce Landing Pages mit CVE-2026-85574.

Gemeinsam ist vielen dieser Fälle ein bekanntes Muster: fehlende oder unzureichende Rechteprüfungen in AJAX-Aktionen, unsaubere Eingabevalidierung oder gefährliche Verarbeitung nutzerkontrollierter Daten. In WordPress-Umgebungen mit vielen Benutzerkonten, Agenturzugriffen oder historisch gewachsenen Rollenmodellen steigt dadurch das Risiko deutlich.

Technische Details

Für die Gesamteinordnung dieser Meldung ist ein CVSS-Basiswert von 8.0 angegeben, also hoch. Der Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H bedeutet: Angriffe sind über das Netzwerk möglich, die Angriffskomplexität ist gering, ein einfaches Benutzerkonto reicht aus und eine Nutzerinteraktion ist erforderlich; Vertraulichkeit, Integrität und Verfügbarkeit können stark beeinträchtigt werden. Dieser Wert beschreibt die technische Schwere, nicht automatisch die tatsächliche Ausnutzbarkeit in jeder realen Umgebung.

CVE-2026-81810 in All-in-One WP Migration and Backup vor 7.111 beruht auf fehlenden Capability-Prüfungen bei mehreren AJAX-Aktionen. Statt sauberer Rollenprüfung verlässt sich die Erweiterung auf ein installationsweites Geheimnis, das für Nutzer mit Export-Berechtigung offengelegt werden kann. Unter einer fehlerhaften Delegation von Export-Rechten kann ein Benutzer ein beliebiges Website-Archiv importieren und so Administratorzugriff erlangen.

CVE-2026-13354 betrifft Asset CleanUp: Page Speed Booster bis einschließlich 1.4.0.5. Hier geht es um Stored Cross-Site Scripting über Kommentar-Inhalte. Ausnutzbar ist die Lücke nur, wenn die Option combine_loaded_css aktiviert wurde; dann kann eingeschleuster Skriptcode bei Aufruf der betroffenen Seite im Browser anderer Nutzer ausgeführt werden.

CVE-2026-85017 in Unlimited Elements For Elementor vor 2.0.20 ermöglicht die Injektion beliebiger PHP-Objekte über gespeicherte, angreiferkontrollierte Daten. Ursache ist erneut eine fehlende Rechteprüfung in einer AJAX-Aktion kombiniert mit unsicherer Deserialisierung. Versionen 2.0.18 und 2.0.19 haben den Zugriff zwar eingeschränkt, die vollständige Behebung erfolgte aber erst mit 2.0.20.

CVE-2026-92619 in Booking Calendar bis einschließlich 11.8.2 erlaubt eine Rechteausweitung auf Administratorniveau. Editoren und höher können über eine AJAX-Funktion WordPress-Kernoptionen verändern, etwa die Standardrolle neuer Benutzer oder die offene Registrierung. Dadurch lässt sich anschließend ein neues Administratorkonto anlegen.

CVE-2026-87909 in WP Photo Album Plus betrifft nach NVD alle Versionen. Die Schwachstelle kann authentifizierten Angreifern ab Subscriber-Niveau unter bestimmten Bedingungen die Ausführung von Code auf dem Server ermöglichen. Problematisch ist die Verarbeitung von Dateinamen in einem ImageMagick-Befehl, der über exec() ausgeführt wird.

CVE-2026-76554 in WP Import Export Lite vor 3.9.35 erlaubt es Benutzern mit delegierten Plugin-Rechten, Benutzerkonten mit hohen Rollen anzulegen oder bestehende Konten zu überschreiben, obwohl sie eigentlich keine Benutzerverwaltung durchführen dürften. Auch hier steht am Ende eine mögliche Übernahme administrativer Kontrolle.

CVE-2026-76790 in Estatik Real Estate Plugin vor 4.3.5 ist ein Reflected Cross-Site-Scripting in einer nicht authentifizierten AJAX-Antwort. Angreifer müssen Opfer auf eine präparierte Anfrage oder Seite lenken, damit der Schadcode im Browser ausgeführt wird.

CVE-2026-85574 in Unbounce Landing Pages vor 1.1.5 erlaubt authentifizierten Benutzern, die Proxy-Konfiguration des Plugins ohne ausreichende Autorisierungsprüfung zu ändern. Dadurch kann fremder Inhalt vom Angreifer-Host unter der eigenen Website-Herkunft ausgeliefert werden. Das ist besonders heikel für Vertrauensketten im Browser und für Phishing innerhalb legitimer Unternehmensdomains.

Wer ist betroffen?

Direkt betroffen sind WordPress-Installationen, auf denen die jeweils verwundbaren Plugin-Versionen aktiv sind. Bei All-in-One WP Migration and Backup sind das Versionen vor 7.111; die praktische Ausnutzbarkeit von CVE-2026-81810 hängt zusätzlich von einer nicht standardmäßigen Rechtevergabe ab.

Betroffen sind außerdem Asset CleanUp: Page Speed Booster bis 1.4.0.5, Unlimited Elements For Elementor vor 2.0.20, Booking Calendar bis 11.8.2, WP Import Export Lite vor 3.9.35, Estatik Real Estate Plugin vor 4.3.5 und Unbounce Landing Pages vor 1.1.5. Bei WP Photo Album Plus nennt NVD alle Versionen als betroffen.

Für Unternehmen im DACH-Raum ist das vor allem in drei Szenarien relevant: erstens bei Marketing-, Intranet- oder Kampagnen-Websites auf WordPress-Basis, zweitens bei Multi-User-Installationen mit Redakteuren, Editoren oder externen Dienstleistern, drittens bei Hosting-Umgebungen, in denen Plugins lange ungeprüft mitlaufen. Weniger kritisch ist die Lage für kleine Einzelseiten ohne zusätzliche Benutzerkonten und mit streng gepflegtem Plugin-Bestand.

Empfohlene Maßnahmen

Prüfen Sie zuerst, ob eines der genannten Plugins überhaupt im Einsatz ist. Inventarisieren Sie dabei nicht nur produktive Websites, sondern auch Microsites, Landingpages, Testsysteme und Altinstallationen bei Agenturen oder Fachabteilungen.

Aktualisieren Sie betroffene Erweiterungen priorisiert auf feste Versionen oder höher: All-in-One WP Migration and Backup auf 7.111 oder neuer, Unlimited Elements For Elementor auf 2.0.20 oder neuer, WP Import Export Lite auf 3.9.35 oder neuer, Estatik Real Estate Plugin auf 4.3.5 oder neuer und Unbounce Landing Pages auf 1.1.5 oder neuer. Bei Asset CleanUp: Page Speed Booster, Booking Calendar und WP Photo Album Plus sollten Administratoren umgehend prüfen, ob im jeweiligen WordPress-Plugin-Verzeichnis oder im Admin-Backend bereits ein Update bereitsteht; weitere Versionsangaben nennt NVD hier nicht.

Kontrollieren Sie anschließend Rollen und Berechtigungen. Besonders wichtig ist das bei All-in-One WP Migration and Backup und WP Import Export Lite: Export-, Import- und Verwaltungsrechte dürfen nicht großzügig an Redakteure, Editoren oder niedrigere Rollen delegiert sein. Entfernen Sie nicht zwingend benötigte Benutzerkonten und prüfen Sie, ob Subscriber-Konten extern angelegt werden konnten.

Untersuchen Sie WordPress-Optionen und Benutzerverwaltung auf Auffälligkeiten. Bei Booking Calendar sollten Sie gezielt kontrollieren, ob Einstellungen wie users_can_register oder default_role unerwartet verändert wurden. Prüfen Sie außerdem auf neu angelegte Administratorkonten, geänderte E-Mail-Adressen bestehender Admins und verdächtige Plugin-Konfigurationen.

Bei WP Photo Album Plus empfiehlt sich eine höhere Priorität, obwohl die Verbreitung geringer ist. Eine mögliche Codeausführung auf dem Server wiegt in gehosteten Umgebungen schwer. Wenn das Plugin nicht zwingend benötigt wird, ist eine vorübergehende Deaktivierung bis zur Klärung oft die sauberste Option.

Härten Sie WordPress organisatorisch nach: keine unnötigen Editor- oder Subscriber-Konten, Zwei-Faktor-Authentisierung für privilegierte Nutzer, Protokollierung von Admin-Aktionen, regelmäßige Integritätsprüfungen von Plugins und Themes sowie ein Freigabeprozess für Rollenänderungen. Gerade die hier beschriebenen Lücken nutzen häufig keine exotischen Exploit-Ketten, sondern schwache Betriebsprozesse aus.

Einschätzung von CyberSecurity-News.de

Die wichtigste Nachricht ist nicht, dass acht WordPress-Lücken gleichzeitig auftauchen. Das passiert im Ökosystem regelmäßig. Ausschlaggebend ist hier die Kombination aus weit verbreiteten Erweiterungen, typischen Implementierungsfehlern und realistischen Angriffspfaden in Multi-User-Umgebungen.

All-in-One WP Migration and Backup sticht wegen der Verbreitung mit über 5 Millionen Installationen heraus. Gleichzeitig muss man die Lücke CVE-2026-81810 sauber einordnen: Sie ist nicht blind auf jede Installation anwendbar, sondern setzt eine ungünstige Rechtevergabe voraus. Wer das im Betrieb übersieht, unterschätzt das Risiko; wer pauschal behauptet, Millionen Websites seien direkt kompromittierbar, überzieht.

Auffällig ist, wie oft fehlende Autorisierungsprüfungen und mangelhafte Trennung von Rollenmodellen die eigentliche Ursache sind. Für Unternehmen ist das ein deutlicher Hinweis, WordPress nicht nur technisch zu patchen, sondern auch administrativ enger zu führen. Besonders riskant sind historisch gewachsene Installationen, in denen Plugins seit Jahren mit Sonderrechten betrieben werden.

Die Informationslage ist gemischt. NVD liefert zu allen acht CVEs technische Eckdaten, aber nicht in jedem Fall klare Aussagen zu festen Zielversionen oder zur Verfügbarkeit von Updates. Wer diese Meldungen operativ bewerten will, muss deshalb im Einzelfall im eigenen Bestand prüfen statt sich auf pauschale Risikowerte zu verlassen.

Fazit

Wer WordPress professionell betreibt, sollte diese Meldung als Arbeitsauftrag verstehen: Plugin-Bestand prüfen, betroffene Erweiterungen aktualisieren, Rollenmodelle nachziehen und auf kompromittierte Konten oder geänderte Optionen kontrollieren. Besonders dringlich ist das bei Websites mit vielen Benutzerkonten und bei Installationen, auf denen All-in-One WP Migration and Backup, Booking Calendar, WP Import Export Lite oder WP Photo Album Plus aktiv sind.

Für die meisten Einzelseiten ohne zusätzliche Benutzerkonten ist das Risiko niedriger, aber nicht null. Entscheidend ist jetzt keine Panik, sondern saubere Bestandsaufnahme und zügiges Patchen.

Quellenangabe