Aktuell ermöglicht eine kritische Sicherheitslücke im WordPress Plugin „Elementor Pro“ eine komplette Übernahme der Instanz.
Da wir für einige unserer Kunden das Webhosting u.a. von WordPress bereitstellen, haben wir uns entschieden, hierzu einen kurzen Blogbeitrag zu veröffentlichen.
Da Elementor Pro mit rund sechs Millionen aktiven Installation zu den beliebtesten Page-Buildern zählt, ist diese aktuell bekannt gewordene Schwachstelle durchaus brisant.
Was ist passiert?
Sicherheitsforscher von Wordfence haben eine kritische Lücke entdeckt, die unter der Kennung CVE-2026-32475 geführ. Der CVSS-Score liegt dabei mit 9,8 am obersten Ende der Skala. Konkret steckt der Fehler in der Überprüfungslogik für Datei-Uploads: Sobald eine Webseite ein Elementor-Pro-Formular mit einem Datei-Upload-Feld veröffentlicht hat, können Angreifer ohne jede Authentifizierung beliebige Dateien hochladen – einschließlich ausführbarem PHP-Code. Die Konsequenz ist im Zweifel die vollständige Übernahme der betroffenen WordPress-Installation.
Wir haben vorsichtshalber unsere Kunden entsprechend informiert, möchten aber auch Ihnen als Besucher unseres Stilbruch IT Blogs diese Warnung zurufen.
Falls Sie Unterstützung beim Patching benötigen oder nicht sicher sind, ob Sie ebenfalls betroffen sind, nehmen Sie gerne Kontakt zu uns auf.
Nun aber weiter mit Informationen zur Sicherheitslücke.
Die Lücke wurde im Rahmen von Wordfences Bug-Bounty-Programm gemeldet. Elementor wurde bereits Ende Juli informiert und hatte damit ausreichend Vorlauf, um zu reagieren.
Dennoch ist sprechen wir von keinem Einzelfall.
Diese Meldung reiht sich in eine Serie ähnlicher Vorfälle ein: Erst wenige Tage zuvor wurden vergleichbare Schwachstellen in den Plug-ins Forminator Forms und Royal Elementor Addons bekannt.
Auch dort ließ sich über ungeprüfte Datei-Uploads ohne Authentifizierung Schadcode einschleusen. Beide Plug-ins bringen es zusammen auf über 1,2 Millionen aktive Installationen.
Auffällig ist, dass in allen drei Fällen dieselbe Angriffsklasse zum Einsatz kommt: unauthentifizierte Datei-Uploads über Formular-Funktionen. Das ist kein Zufall, sondern ein strukturelles Problem vieler Page-Builder- und Formular-Plug-ins, die Upload-Felder oft nicht konsequent genug absichern.
Was das für Betreiber bedeutet
- Sofort patchen: Elementor Pro auf 4.2.2 oder neuer aktualisieren.
- Formulare prüfen: Sind Datei-Upload-Felder wirklich notwendig? Wenn nicht, entfernen.
- Monitoring: Ungewöhnliche PHP-Dateien im Upload-Verzeichnis sind ein klares Warnsignal.
- Update-Prozesse überdenken: Wer WordPress-Plug-ins nicht automatisiert und zeitnah patcht, trägt ein unnötig hohes Risiko – gerade bei Plug-ins mit Millionen von Installationen sind Exploits meist innerhalb weniger Tage in freier Wildbahn.
Wer intern keine Kapazität hat, Sicherheitsmeldungen wie diese laufend zu verfolgen und zeitnah zu reagieren, sollte über ein Managed-Security-Angebot nachdenken, das genau das übernimmt.
Für nähere Informationen nutzen Sie gerne unser Kontaktformular oder nehmen Sie direkt per Telefon oder Mail Kontakt zu uns auf.
