Eine schwere Schwachstelle im weitverbreiteten WordPress-Plug-in Elementor Pro kann Unbefugten die Übernahme kompletter Websites ermöglichen. Betroffene Betreiber sollten die bereitgestellte Sicherheitsaktualisierung daher schnellstmöglich installieren.
Elementor Pro zählt zu den populärsten Erweiterungen für WordPress. Schätzungen zufolge ist das Plug-in auf mehr als sechs Millionen Websites aktiv. Die nun bekannt gewordene Sicherheitslücke ist besonders kritisch, weil Angreifer weder ein Benutzerkonto noch gültige Zugangsdaten benötigen, um sie auszunutzen.
Wer eine eigene Website oder einen Blog erstellen möchte, kommt an WordPress kaum vorbei. Passende Bücher zum weltweit beliebtesten Content-Management-System WordPress findest du bei Amazon*.
Bestimmte Formulare sind angreifbar
Ursache des Problems ist eine unvollständige Sicherheitskontrolle beim Hochladen von Dateien über Formulare. Unter bestimmten Voraussetzungen können manipulierte Dateien auf den Webserver gelangen, ohne dass Elementor Pro deren Dateityp, Endung und Größe ordnungsgemäß überprüft. Auf diese Weise wäre es möglich, ausführbaren Schadcode auf einer betroffenen Website zu platzieren.
Nicht jede Installation von Elementor Pro ist automatisch unmittelbar gefährdet. Für einen erfolgreichen Angriff muss auf der Website ein Formular veröffentlicht sein, das mit dem Plug-in erstellt wurde. Dieses Formular muss außerdem ein optionales Feld für Datei-Uploads enthalten.
Der Fehler tritt bei der Verarbeitung mehrerer Dateien innerhalb eines solchen Feldes auf. Normalerweise untersucht das Plug-in jeden übermittelten Eintrag einzeln und prüft, ob die Datei den festgelegten Sicherheitsregeln entspricht.
Beginnt der Upload jedoch mit einem leeren Eintrag, beendet Elementor Pro die Kontrolle der weiteren Dateien vorzeitig. Statt lediglich den nicht ausgefüllten Eintrag zu überspringen, bricht das Plug-in die gesamte Prüfroutine ab. Nachfolgende Dateien werden trotzdem verarbeitet, durchlaufen aber nicht mehr die vorgesehenen Kontrollen.
Manipulierte Dateien können auf dem Server landen
Angreifer können den fehlerhaften Ablauf gezielt auslösen, indem sie eine entsprechend vorbereitete Upload-Anfrage an das Formular senden. Nach dem leeren ersten Eintrag folgt dabei eine schädliche Datei. Obwohl deren Inhalt nicht mehr ausreichend kontrolliert wird, speichert Elementor Pro sie unter Umständen im Upload-Verzeichnis der WordPress-Installation.
Verschärft wird das Problem dadurch, dass die Dateiendung aus dem übermittelten Namen übernommen werden kann. So könnte beispielsweise eine ausführbare PHP-Datei auf dem Server abgelegt werden. Ist das Upload-Verzeichnis über das Internet erreichbar, lässt sich der enthaltene Programmcode möglicherweise direkt aufrufen.
Die Folgen können erheblich sein. Angreifer könnten weitere Schadsoftware installieren, Inhalte verändern, Daten auslesen oder zusätzliche Zugänge zur Website einrichten. Im schlimmsten Fall erhalten sie die vollständige Kontrolle über die WordPress-Installation und den dazugehörigen Webserver.
Sicherheitsupdate steht bereit
Der Hersteller hat die Schwachstelle mit Elementor Pro 4.2.2 geschlossen. Die korrigierte Version steht seit dem 19. August 2026 zur Verfügung. Betreiber betroffener Websites sollten prüfen, welche Version des Plug-ins installiert ist, und das Update ohne Verzögerung einspielen.
Zusätzlich empfiehlt es sich, die Server- und Zugriffsprotokolle auf ungewöhnliche Uploads oder verdächtige Aufrufe zu untersuchen. Auch das Upload-Verzeichnis sollte auf unbekannte PHP-Dateien und andere ausführbare Inhalte kontrolliert werden. Ein Update schließt zwar die Sicherheitslücke, entfernt aber keine Schadsoftware, die möglicherweise bereits zuvor eingeschleust wurde.
Bis zur Aktualisierung kann es sinnvoll sein, betroffene Formulare vorübergehend zu deaktivieren oder zumindest optionale Datei-Upload-Felder zu entfernen. Angesichts der großen Verbreitung von Elementor Pro besitzt die Schwachstelle ein beträchtliches Schadenspotenzial. Eine schnelle Reaktion ist daher besonders wichtig.
Wer eine eigene Website oder einen Blog erstellen möchte, kommt an WordPress kaum vorbei. Passende Bücher zum weltweit beliebtesten Content-Management-System WordPress findest du bei Amazon*.
- ❌ Kritische Schwachstelle bedroht Millionen WordPress-Websites 🚨 – 3. September 2026
- ChatGPT Codex im Terminal unter GNU/Linux und macOS nutzen [Quick Tip] – 2. September 2026
- Firefox 155 macht Tracking-Schutz sichtbarer – 1. September 2026
Schreiben Sie einen Kommentar