Kurzfassung
Bei mehreren WordPress-Erweiterungen wurden gravierende Schwachstellen bekannt. Besonders relevant ist Ultimate Member, eine Erweiterung mit über 200.000 Installationen, bei der bis zu Version 2.13.0 potenziell angreifbare Websites betroffen sein können; die zentrale Lücke CVE-2026-85680 ist mit CVSS 8.8 als hoch eingestuft.
Ebenfalls betroffen sind UsersWP mit CVE-2026-86814 sowie Import and export users and customers mit den beiden Schwachstellen CVE-2026-92540 und CVE-2026-92541. Je nach Plugin reichen die Folgen von gespeicherten Skripten im Profil über Kontoübernahmen bis zur unzulässigen Vergabe von Administratorrechten.
Für Unternehmen im DACH-Raum ist das vor allem dort relevant, wo WordPress für Kundenportale, Mitgliederbereiche, Registrierungen oder Self-Service-Zugänge genutzt wird.
Was ist passiert?
Mehrere WordPress-Plugins für Benutzerverwaltung und Mitgliederfunktionen weisen Sicherheitslücken mit hoher technischer Schwere auf. Die bekannteste darunter betrifft Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin. Diese Erweiterung wird laut WordPress.org auf mehr als 200.000 Websites eingesetzt und ist damit der wichtigste Relevanzfaktor in dieser Meldung.
Bei Ultimate Member ermöglicht CVE-2026-85680 einem nicht angemeldeten Angreifer nach Registrierung eines Kontos das dauerhafte Einschleusen von JavaScript in Profildaten. Der Schadcode kann ausgeführt werden, wenn ein Besucher oder ein Administrator das betroffene Profil aufruft.
UsersWP ist von CVE-2026-86814 betroffen. Dort wird bei der Anmeldung über soziale Login-Anbieter offenbar nicht ausreichend geprüft, ob der Anbieter den Besitz der verwendeten E-Mail-Adresse tatsächlich bestätigt hat. Dadurch kann ein externer Angreifer unter Umständen ein bestehendes Konto übernehmen, wenn er dessen E-Mail-Adresse geltend machen kann.
Die Erweiterung Import and export users and customers ist gleich zweimal betroffen: CVE-2026-92540 und CVE-2026-92541. Beide Lücken betreffen die Rechteprüfung bei Rollenänderungen im Importprozess. Nutzer mit begrenzteren Rechten können dadurch unter bestimmten Voraussetzungen Administratorrechte vergeben oder bestehende Konten hochstufen.
Technische Details
Für CVE-2026-85680 nennt NVD einen CVSS-Basiswert von 8.8 (hoch) mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Das bedeutet: Der Angriff ist über das Netzwerk möglich, erfordert keine Berechtigungen, hat geringe Komplexität, benötigt aber Nutzerinteraktion, weil jemand das manipulierte Profil aufrufen muss. Der CVSS-Wert beschreibt die technische Schwere, nicht automatisch die tatsächliche Ausnutzung in freier Wildbahn.
Im Fall von Ultimate Member liegt das Problem in der Verarbeitung von aus Profilnamen abgeleiteten Werten bei der Ausgabe im Seitentitel. Bestimmte HTML-Entitäten werden demnach nach der eigenen Bereinigung wieder dekodiert. Das öffnet den Weg für gespeicherte Cross-Site-Scripting-Angriffe. Betroffen sind Versionen vor 2.13.1.
CVE-2026-86814 in UsersWP ist mit CVSS 8.1 als hoch eingestuft. Der Angriff ist remote möglich, benötigt keine Anmeldung und keine Nutzerinteraktion, allerdings ist die Angriffskomplexität höher. Technisch geht es um die Zuordnung von Social-Login-Konten zu bestehenden WordPress-Nutzern anhand der E-Mail-Adresse, ohne den bestätigten Besitz dieser Adresse ausreichend abzusichern. Betroffen sind Versionen vor 1.5.10.
CVE-2026-92540 und CVE-2026-92541 betreffen beide Import and export users and customers in Versionen vor 2.5.2. Beide Lücken sind mit CVSS 7.2 als hoch bewertet. Hier braucht der Angreifer bereits bestimmte Rechte im System, konkret reicht unter den beschriebenen Umständen offenbar die Fähigkeit zum Anlegen von Benutzern aus, obwohl für das Hochstufen von Rollen eigentlich weitergehende Berechtigungen erforderlich wären. Einmal betrifft das die CSV-Importfunktion, einmal die Frontend-Importfunktion.
Wer ist betroffen?
Betroffen sind WordPress-Installationen, auf denen die genannten Erweiterungen in verwundbaren Versionen aktiv sind:
- Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin: Versionen vor 2.13.1, Verbreitung über 200.000 Installationen
- UsersWP – Front-end login form, User Registration, User Profile & Members Directory plugin for WP: Versionen vor 1.5.10, Verbreitung über 20.000 Installationen
- Import and export users and customers: Versionen vor 2.5.2, Verbreitung über 70.000 Installationen
Die Verbreitungszahlen beschreiben die gesamte Nutzung der Plugins, nicht die Zahl der tatsächlich verwundbaren Websites. Potenziell betroffen sind nur Installationen, auf denen die jeweils verwundbaren Versionen noch laufen.
Für Unternehmen ist das besonders relevant, wenn WordPress nicht nur als Marketing-Seite dient, sondern Registrierungen, Mitgliederbereiche, Partnerzugänge, Event-Plattformen, interne Verzeichnisse oder Kundenkonten darüber abgebildet werden. Dann können XSS, Kontoübernahmen oder unzulässige Rechteausweitungen schnell operative Folgen haben.
Empfohlene Maßnahmen
Prüfen Sie zuerst, ob die betroffenen Plugins überhaupt im Einsatz sind. Priorisieren Sie Systeme mit öffentlicher Registrierung, Social Login und Benutzerimporten.
- Sofort Versionen prüfen und aktualisieren: Ultimate Member auf mindestens 2.13.1, UsersWP auf mindestens 1.5.10, Import and export users and customers auf mindestens 2.5.2.
- Öffentliche Registrierung kontrollieren: Bei Ultimate Member sollten Sie bis zum Update prüfen, ob neue, auffällige Profile angelegt wurden und ob Profilnamen oder Seitentitel verdächtige Zeichenfolgen enthalten.
- Administratorkonten und Rollen prüfen: Kontrollieren Sie bei UsersWP und Import/Export-Plugins alle kürzlich angelegten oder geänderten Konten, insbesondere Administratoren und Redakteure.
- Social-Login-Zuordnungen überprüfen: Falls UsersWP im Einsatz ist, sollten Sie verdächtige Anmeldungen und die Verknüpfung externer Identitäten mit lokalen WordPress-Konten nachvollziehen.
- Importfunktionen einschränken: Entziehen Sie Benutzern vorübergehend Importrechte oder deaktivieren Sie die Funktion, wenn sie nicht zwingend benötigt wird.
- Protokolle und Änderungen sichern: Exportieren Sie Audit-Logs, Webserver-Protokolle und WordPress-Änderungshistorien, bevor Bereinigung oder Rollenrückbau erfolgt.
Wer mehrere WordPress-Instanzen betreibt, sollte die Prüfung zentralisieren: zuerst Internet-exponierte Systeme, dann Portale mit Self-Registration und schließlich interne Spezialseiten.
Einschätzung von CyberSecurity-News.de
Die höchste praktische Relevanz hat hier nicht zwingend der einzelne CVSS-Wert, sondern die Kombination aus Funktionsbereich und Verbreitung. Ultimate Member sitzt direkt an einem sensiblen Punkt vieler WordPress-Websites: Registrierung, Profile und Mitgliederdaten. Eine XSS-Lücke in diesem Kontext ist deutlich ernster als bei einem reinen Design-Plugin.
UsersWP fällt durch das mögliche Kontoübernahme-Szenario auf. Wenn die Zuordnung von Social-Login-Identitäten an E-Mail-Adressen unzureichend abgesichert ist, betrifft das unmittelbar die Vertrauensbasis des Anmeldeprozesses. Für produktive Portale mit externen Nutzern ist das aus Unternehmenssicht oft kritischer als ein gewöhnlicher Darstellungsfehler.
Die beiden Lücken in Import and export users and customers sind anders gelagert: Sie setzen bereits Rechte im System voraus. Das senkt das Risiko für klassische Massenangriffe, macht die Schwachstellen aber für Mehrbenutzer-Umgebungen, Agenturbetrieb und delegierte Administration relevant. Gerade in gewachsenen WordPress-Landschaften sind zu breit vergebene Rechte keine Seltenheit.
Die Informationslage ist insgesamt brauchbar, aber knapp. NVD nennt die technischen Kerndaten und betroffenen Versionsgrenzen. Ob die Schwachstellen bereits aktiv ausgenutzt werden, geht daraus nicht hervor.
Fazit
Admins sollten diese Plugin-Gruppe zeitnah prüfen und Updates priorisiert einspielen, vor allem bei Ultimate Member mit seiner sehr hohen Verbreitung von über 200.000 Installationen. Noch wichtiger als der reine Patch ist die Kontrolle von neu angelegten Konten, Rollenänderungen und verdächtigen Profilinhalten.
Wer öffentliche Registrierung, Social Login oder Benutzerimporte nutzt, sollte nicht auf den nächsten regulären Wartungslauf warten. Hier ist eine kurzfristige Prüfung sinnvoll.
