Elementor ist mit über 10 Millionen aktiven Installationen der verbreitetste Website-Builder für WordPress. Am 20. August 2026 wurde in der bezahlten Variante Elementor Pro eine Schwachstelle mit CVSS 9.0 öffentlich: CVE-2026-32475. Angreifer:innen können ohne Login eine PHP-Datei in ein öffentlich erreichbares Verzeichnis schreiben und ausführen lassen – Remote Code Execution mit den Rechten des Webservers.
Wie funktioniert der Angriff?
Der Fehler steckt im File-Upload-Modul der Elementor-Formulare. Prüfung und Verarbeitung der hochgeladenen Dateien laufen in zwei getrennten Schleifen, die leere Datei-Einträge unterschiedlich behandeln. Ein präparierter Multipart-Upload beginnt mit einem leeren Eintrag: Die Prüfroutine steigt danach aus und sieht den zweiten Teil – die PHP-Datei – nie. Die Verarbeitung überspringt den leeren Eintrag und schreibt die PHP-Datei nach wp-content/uploads/elementor/forms/. Der Dateiname wird über uniqid() gebildet, ist also zeitbasiert und damit erratbar.
Wer ist wirklich betroffen?
Hier lohnt der genaue Blick, bevor Panik ausbricht. Nach Angaben von Elementor sind nur Websites gefährdet, die alle drei Bedingungen erfüllen:
- Elementor Pro in einer Version bis einschließlich 4.2.1 – behoben ist die Lücke in 4.2.2.
- Ein veröffentlichtes Elementor-Formular mit einem Datei-Upload-Feld.
- Die Option für Mehrfach-Uploads in diesem Feld ist aktiviert – standardmäßig ist sie deaktiviert.
Aktive Angriffe wurden zum Zeitpunkt der Veröffentlichung noch nicht beobachtet. Gemeldet wurde die Lücke am 16. Juli von Tin Pham an Patchstack, der Fix folgte am 20. August. Trotz der engen Voraussetzungen empfiehlt Elementor allen Installationen das Update.
Was solltest du jetzt tun?
- Elementor-Pro-Version prüfen und auf 4.2.2 oder neuer aktualisieren.
- Formulare durchgehen: Gibt es Upload-Felder – etwa für Bewerbungen, Schadensmeldungen oder Angebotsanfragen? Ist dort Mehrfach-Upload aktiv?
- Das Verzeichnis wp-content/uploads/elementor/forms/ auf PHP-Dateien und andere fremde Dateien kontrollieren. Wichtig: Das Update entfernt Dateien nicht, die während der Lücke hochgeladen wurden.
- Auf Serverebene die Ausführung von PHP in Upload-Verzeichnissen generell unterbinden – das entschärft diese ganze Angriffsklasse dauerhaft.
Warum das ein Muster ist
Uploads in Formularen sind ein Dauerthema: Bewerbungsformular, Schadensmeldung, Reklamation – die Funktion ist praktisch und die Angriffsfläche real. Der letzte Punkt oben ist deshalb der wichtigste. Wer PHP im Upload-Pfad grundsätzlich sperrt, ist beim nächsten Advisory dieser Art nicht mehr betroffen.
Wir prüfen deine WordPress-Installation, härten Upload-Pfade ab und halten Plugins über Wartungsverträge aktuell – egal ob in WordPress, TYPO3, Magento, einer individuellen Laravel-Applikation oder in einem Headless-Setup mit Payload oder Directus, wo Uploads gleich getrennt vom Frontend verarbeitet werden.
Nimm jetzt Kontakt auf!
Quellen:
