Im weitverbreiteten WordPress-Plug-in „All-in-One WP Migration and Backup“ ist eine Sicherheitslücke entdeckt worden. Unter bestimmten Voraussetzungen könnten Angreifer darüber Schadcode ausführen und die Kontrolle über eine Website übernehmen. Die Entwickler haben bereits ein Sicherheitsupdate veröffentlicht.
Nach Angaben aus dem offiziellen WordPress-Verzeichnis kommt das Plug-in auf mehr als fünf Millionen Websites zum Einsatz. Gefährdet sind sämtliche Versionen vor 7.110. Betreiber sollten daher prüfen, welche Ausgabe installiert ist, und zeitnah auf die abgesicherte Version aktualisieren.
Wer eine eigene Website oder einen Blog erstellen möchte, kommt an WordPress kaum vorbei. Passende Bücher zum weltweit beliebtesten Content-Management-System WordPress findest du bei Amazon*.
Angriff erfordert mehrere Schritte
Für den ersten Schritt eines möglichen Angriffs benötigen die Täter kein Benutzerkonto. Voraussetzung ist allerdings, dass auf der öffentlich erreichbaren WordPress-Seite mindestens ein Beitrag vorhanden ist, bei dem Trackbacks aktiviert sind.
Über einen speziell präparierten Trackback können Angreifer manipulierte Informationen in die Datenbank der Website einschleusen. Unmittelbar entsteht dadurch noch kein Schaden: Die eingeschleusten Daten bleiben zunächst lediglich gespeichert.
Gefährlich wird es erst, wenn ein Administrator die betreffende Website mit dem verwundbaren Plug-in exportiert und das erstellte Paket später wieder importiert. Während dieses Vorgangs verarbeitet die Erweiterung die hinterlegten Daten nicht ausreichend sicher. Auf diesem Weg kann ein Angreifer an den geheimen Schlüssel des Plug-ins gelangen.
Mit dem erbeuteten Schlüssel lässt sich anschließend ein manipulierter Importvorgang auslösen. Im schlimmsten Fall ermöglicht dies die Ausführung von Schadcode auf dem Server – und damit eine vollständige Übernahme der WordPress-Installation.
Sicherheitsupdate steht bereit
Konkrete Hinweise auf laufende Angriffe gibt es bislang nicht. Da eine erfolgreiche Ausnutzung mehrere Bedingungen und eine Aktion durch einen Administrator voraussetzt, lässt sich die Schwachstelle nicht ohne Weiteres missbrauchen. Angesichts der großen Zahl potenziell betroffener Websites sollten Verantwortliche das Risiko dennoch nicht unterschätzen.
Die Entwickler wurden den Sicherheitsforschern zufolge Mitte August über die Schwachstelle informiert. Bereits fünf Tage später war eine korrigierte Fassung fertig. Version 7.110 steht seit dem 20. August 2026 zum Download bereit. Websitebetreiber sollten ältere Ausgaben schnellstmöglich ersetzen und bis dahin möglichst auf Export- und Importvorgänge mit dem Plug-in verzichten.
Wer eine eigene Website oder einen Blog erstellen möchte, kommt an WordPress kaum vorbei. Passende Bücher zum weltweit beliebtesten Content-Management-System WordPress findest du bei Amazon*.
- ❌ Kritische Schwachstelle bedroht Millionen WordPress-Websites 🚨 – 3. September 2026
- ChatGPT Codex im Terminal unter GNU/Linux und macOS nutzen [Quick Tip] – 2. September 2026
- Firefox 155 macht Tracking-Schutz sichtbarer – 1. September 2026
Schreiben Sie einen Kommentar