Anfang November haben die Schwachstellen-Datenbanken eine ganze Reihe neuer Einträge zu WordPress-Plugins veröffentlicht. Betroffen sind keine Nischen-Erweiterungen, sondern Plugins, die auf Millionen Websites laufen: Formulare, Custom Fields, Newsletter-Anbindung und Cookie-Banner. Die Updates sind überall verfügbar - sie müssen nur eingespielt werden.
Welche Plugins sind betroffen?
- Contact Form 7 vor 6.2.4 (CVE-2026-114432): Datei-Felder prüfen Typ und Endung hochgeladener Dateien nicht, außerdem bleiben Dateien auf dem Server liegen. Ohne Login lassen sich so beliebige Dateien ablegen, je nach Serverkonfiguration bis hin zur Ausführung von Code. Bewertung je nach Datenbank zwischen 7,3 und 9,8 von 10.
- Advanced Custom Fields (ACF) vor 6.8.11: vier Lücken, darunter Stored XSS ohne Login (CVE-2026-110813) und mehrere Rechteprobleme für Konten ab der Rolle „Mitarbeiter:in“.
- MC4WP: Mailchimp for WordPress vor 4.15.0: Fremde können E-Mail-Adressen in beliebige Zielgruppen deines verbundenen Mailchimp-Kontos eintragen (CVE-2026-118167), unter Umständen auch Shortcodes ausführen (CVE-2026-118166).
- iubenda vor 3.13.7 (CVE-2026-86606): Stored XSS ohne Login über den integrierten HTML-Parser. Auch die Versionen 3.13.5 und 3.13.6 sind noch betroffen.
Wie gefährlich ist das?
Am kritischsten ist Contact Form 7: Das Plugin läuft auf mehr als zehn Millionen Websites, und Formulare mit Datei-Upload sind öffentlich erreichbar. Stand 9. November sind keine aktiven Angriffe dokumentiert - bei früheren Plugin-Lücken lagen zwischen Veröffentlichung und ersten automatisierten Scans aber oft nur Stunden. XSS-Lücken wie bei ACF und iubenda werden gern genutzt, um Schadcode im Browser von Admins auszuführen und darüber Konten zu übernehmen. Bei MC4WP droht vor allem Spam in deinen Newsletter-Listen, was Zustellbarkeit und saubere Einwilligungen gefährdet.
Was solltest du jetzt tun?
- Im WordPress-Backend unter „Plugins“ die Versionsnummern prüfen und alle vier Plugins aktualisieren.
- Bei Contact Form 7 den Ordner wp-content/uploads/wpcf7_uploads auf unbekannte Dateien kontrollieren.
- Mailchimp-Zielgruppen auf auffällige Neuanmeldungen der letzten Wochen durchsehen.
- Benutzerliste auf unbekannte Admin-Konten prüfen.
- Automatische Plugin-Updates aktivieren oder einen Wartungsvertrag nutzen, damit Patches nicht wochenlang liegen bleiben.
Du willst nicht jede Woche selbst Sicherheitsmeldungen verfolgen? Wir übernehmen Updates, Monitoring und Backups für deine Website und prüfen nach einem Vorfall, ob Schadcode zurückgeblieben ist - egal ob in WordPress, TYPO3, Magento, einer individuellen Laravel-Applikation oder in einem Headless-Setup mit Payload oder Directus. Nimm jetzt Kontakt auf!
Quellen:
