Drei WordPress-Lücken in vier Wochen, sechs Millionen Seiten betroffen
Elementor Pro, Events Calendar und All-in-One WP Migration hatten seit dem 19. August kritische Lücken; eine wird aktiv ausgenutzt, für eine zweite kursiert Angriffscode. Wer eines der drei nutzt, sollte heute die Version prüfen.
Am 19. August 2026 hat Elementor die Version 4.2.2 von Elementor Pro veröffentlicht. Sie schließt eine Lücke, über die jeder Besucher ohne Anmeldung eine PHP-Datei auf den Server laden konnte. Voraussetzung ist nur ein veröffentlichtes Formular mit einem Datei-Upload-Feld. Laut SecurityWeek begannen die Angriffe unmittelbar nach dem Patch; die Firewall von Wordfence hat bis Anfang September über 190.000 Angriffsversuche geblockt. Am 4. September lief nach derselben Quelle noch rund zwei Drittel der etwa sechs Millionen Installationen mit einer verwundbaren Version.
Es blieb nicht bei diesem einen Fall. Am 20. August erschien Version 7.110 von All-in-One WP Migration and Backup, einem Plugin mit über fünf Millionen Installationen. Die Lücke (CVE-2026-19949) ist eine SQL-Injection, die ein Angreifer über einen öffentlichen Trackback ablegt und die erst zündet, wenn der Administrator später ein Backup einspielt. Wordfence hat die Details am 2. September veröffentlicht; zu dem Zeitpunkt hatten laut BleepingComputer erst rund 35 Prozent der Seiten aktualisiert. Am 15. September folgte die Offenlegung zweier Lücken in The Events Calendar (CVE-2026-78006 und CVE-2026-78159, beide mit dem Höchstwert 9,8 bewertet), über 600.000 Installationen, Patch in Version 6.17.4.1, Bericht bei Cyber Security News.
Warum gerade diese drei Plugins
Formular, Kalender und Sicherung sind genau die Funktionen, die ein Handwerksbetrieb, eine Praxis oder ein Restaurant auf der Website braucht. In WordPress kommen sie fast immer als Plugin von Drittanbietern, jedes mit eigenem Code, eigenem Update-Zyklus und eigenem Sicherheitsteam. Die Lücke in Elementor Pro steckt in der Formularverarbeitung, die im Backup-Plugin in der Wiederherstellung, die im Kalender in der Darstellung der Widgets. Drei Kernfunktionen, drei Fremdcodes, drei Angriffsflächen.
Dazu kommt das Tempo. Zwischen Patch und ersten Angriffen lagen bei Elementor Pro keine 24 Stunden. Angreifer lesen die Änderungen im Code und bauen daraus automatisiert Angriffe, die dann Millionen Domains abklappern. Wer sein Plugin am Monatsende aktualisiert, ist zwei Wochen lang offen.
Was Sie heute prüfen sollten
Melden Sie sich im WordPress-Backend an und öffnen Sie die Plugin-Liste. Elementor Pro muss mindestens 4.2.2 zeigen, All-in-One WP Migration mindestens 7.110, The Events Calendar mindestens 6.17.4.1. Steht dort eine ältere Nummer, aktualisieren Sie sofort, nicht am Wochenende.
Danach lohnt ein Blick in den Ordner wp-content/uploads/elementor/forms/. Dort dürfen nur hochgeladene Dokumente und Bilder liegen. Eine Datei mit der Endung .php ist ein Einbruch, und dann reicht das Update nicht mehr; die Seite muss bereinigt werden, im Zweifel aus einer Sicherung von vor dem 19. August.
Wer All-in-One WP Migration nutzt, sollte vor dem nächsten Einspielen einer Sicherung sicherstellen, dass das Plugin aktuell ist. Die Lücke wird erst beim Wiederherstellen aktiv. Ein altes Backup mit dem neuen Plugin einzuspielen ist in Ordnung, ein beliebiges Backup mit dem alten Plugin nicht.
Schalten Sie automatische Updates für Plugins ein, wenn Sie das noch nicht getan haben. Ja, gelegentlich bricht ein Update etwas. Das ist ärgerlich, aber weniger ärgerlich als eine gehackte Seite, die Spam verteilt und aus dem Google-Index fliegt. Und wenn Sie ein Plugin seit Monaten nicht brauchen, löschen Sie es. Ein deaktiviertes Plugin ist immer noch Code auf dem Server.
Wie wir das bei UnifiedCMS handhaben
Formulare, Terminbuchung und Sicherungen sind bei UnifiedCMS Teil des Kerns, nicht Zukauf. Es gibt ein Programm, das wir pflegen, und ein Update, das wir einspielen, für alle Kunden gleichzeitig. Sicherungen legen Sie im Studio unter Einstellungen an und spielen sie dort auch wieder ein, ohne ein Plugin, das seinerseits Sicherheitslücken mitbringt. Das macht uns nicht unverwundbar, niemand ist das. Aber es reduziert die Zahl der Stellen, an denen etwas schiefgehen kann, und die Zahl der Personen, auf deren Reaktionszeit Sie angewiesen sind.
Wenn Sie bei WordPress bleiben wollen, ist das eine legitime Entscheidung. Dann gehört aber jemand dazu, der jede Woche Updates prüft. Wer das nicht leisten kann oder will, sollte über den Wechsel nachdenken. Wie ein Umzug von WordPress zu uns abläuft, steht in diesem Beitrag.