Forschende von Wordfence und Patchstack haben fünf kritische Sicherheitslücken (CVSS 9,8–10,0) in weit verbreiteten WordPress-Plugins und -Themes offengelegt — WPMU DEV Dashboard, Avada, TranslatePress, Pods und GiveWP. Die kumulierte Verbreitung der betroffenen Produkte übersteigt 1,8 Millionen Installationen und Verkäufe. Sämtliche Schwachstellen ermöglichen es einem nicht authentifizierten Angreifer, Administratorzugriff zu erlangen, ein Konto zu übernehmen oder beliebigen Code auf dem Server auszuführen. Patches stehen für alle betroffenen Produkte bereits zur Verfügung — Administratoren von WordPress-Sites sollten die entsprechenden Komponenten umgehend aktualisieren.
Technische Analyse der Schwachstellen
CVE-2026-76581 — Umgehung der Authentifizierung in WPMU DEV Dashboard
Nach Angaben von Wordfence betrifft die mit CVSS 9,8 bewertete Schwachstelle alle Versionen des Plugins WPMU DEV Dashboard bis einschließlich 5.0.1. Das Plugin verzeichnet rund 350 000 aktive Installationen. Ein nicht authentifizierter Angreifer kann eine Administratorsitzung und vollständige Kontrolle über die Site erlangen, wenn zwei Bedingungen erfüllt sind: Die Site ist mit dem WPMU DEV Hub verbunden und der Mechanismus für Single Sign-On (SSO) ist aktiviert, und SSO ist mit einem Administratorkonto verknüpft. Der Fix wurde am 24. August 2026 in Version 5.0.2 veröffentlicht.
CVE-2026-18431 — Remote Code Execution über Avada
Die Schwachstelle willkürlicher Dateischreibzugriffe im Theme Avada (mehr als 1 Million Verkäufe) wurde mit CVSS 9,8 bewertet. Wie Wordfence beschreibt, erfordert die Ausnutzung eine Kette aus sechs einzelnen Schwachpunkten, die nacheinander kombiniert werden müssen. Betroffen sind Avada-Versionen bis einschließlich 7.16 bei gleichzeitiger Verwendung des Plugins Fusion Builder in Versionen bis einschließlich 3.16. Eine weitere Voraussetzung ist das Vorhandensein bestimmter, vom Administrator erstellter Inhalte. Ein Angreifer kann so kontrollierte PHP-Dateien auf den Server schreiben und deren Ausführung erzwingen. Bemerkenswert ist, dass das Forschungssystem Wordfence Argus nach Angaben des Unternehmens die gesamte Kette in etwa zwei Stunden entdeckt und reproduziert hat. Die korrigierten Versionen — Avada 7.16.1 und Fusion Builder 3.16.1 — wurden am 25. August 2026 veröffentlicht. Beide Komponenten müssen aktualisiert werden.
CVE-2026-19632 — Kontenübernahme über TranslatePress
Die Schwachstelle zur Offenlegung vertraulicher Informationen im Plugin TranslatePress (über 400 000 aktive Installationen) wurde ebenfalls mit CVSS 9,8 bewertet. Laut Bericht von Wordfence kann ein nicht authentifizierter Angreifer die vollständige URL zum Zurücksetzen des Administratorpassworts, einschließlich des Reset-Schlüssels im Klartext und der Login-Parameter, auslesen. Dies ermöglicht eine vollständige Übernahme des Administratorkontos. Die Ausnutzungsbedingungen sind dabei relativ eng gefasst: Die Funktion zum automatischen Speichern von Strings muss aktiviert sein, und das Profil des Zieladministrators muss eine veröffentlichte Sekundärsprache verwenden. Betroffen sind Versionen bis einschließlich 3.3.1. Der Patch — Version 3.3.2 — wurde am 13. August 2026 veröffentlicht.
CVE-2026-19598 — Privilegienerweiterung in Pods
Die Privilegieneskalations-Schwachstelle im Plugin Pods – Custom Content Types and Fields (über 100 000 aktive Installationen) mit einem CVSS 9,8 ermöglicht es einem nicht authentifizierten Angreifer, seine Rechte bis auf Administratorniveau zu erhöhen oder das Passwort eines beliebigen Benutzers, einschließlich des Website-Eigentümers, zu überschreiben. Nach Angaben von Wordfence hat der Entwickler das erzwungene Update gemeinsam mit dem Team von WordPress.org koordiniert. Die korrigierten Versionen für die verschiedenen Branches — 2.8.23.4, 2.9.19.4, 3.0.10.4, 3.1.4.2, 3.2.8.3 und 3.3.9.1 — wurden am 14. August 2026 veröffentlicht. Administratoren sollten prüfen, welcher Branch installiert ist, und sicherstellen, dass der passende Patch eingespielt wurde.
CVE-2026-82222 — PHP-Objektinjektion in GiveWP
Die Schwachstelle im Plugin GiveWP betrifft Versionen bis einschließlich 4.16.7.1 und steht laut Ausgangsbericht von Patchstack im Zusammenhang mit einer Angriffskette: nicht authentifizierte PHP-Objektinjektion, die in Remote Code Execution übergeht. Es ist zu beachten, dass die Details dieser Schwachstelle, einschließlich des angegebenen CVSS-Scores und der Informationen zum Patch, nicht unabhängig anhand primärer Quellen verifiziert wurden. Patchstack nennt drei Hauptursachen: einen Serializer, der Objekte nicht entfernt; die Deserialisierung von Daten aus der Datenbank ohne Vertrauensprüfung; sowie das Vorhandensein von Bibliotheken mit fertigen Gadget-Chains in der Produktionsbuild.
Bewertung der Auswirkungen
Das gesamte potenzielle Ausmaß der Auswirkungen ist beträchtlich: Betroffen sind Sites mit insgesamt über 1,8 Millionen Installationen und Verkäufen. Der Grad der tatsächlichen Verwundbarkeit unterscheidet sich jedoch deutlich. Die Schwachstelle in WPMU DEV Dashboard erfordert eine spezifische SSO-Konfiguration, die Ausnutzung von Avada hängt vom gleichzeitigen Einsatz von Fusion Builder und bestimmten Inhalten ab, und TranslatePress ist nur verwundbar, wenn das automatische Speichern von Strings aktiviert ist und im Administratorkonto eine Sekundärsprache genutzt wird. Am ehesten breit ausnutzbar ist nach aktuellem Kenntnisstand die Schwachstelle in Pods, da die Ausnutzungsbedingungen dort weniger restriktiv sind.
Eine aktive Ausnutzung keiner der aufgeführten Schwachstellen in realen Angriffen ist zum Zeitpunkt der Veröffentlichung nicht bestätigt. Dennoch machen die kritischen CVSS-Bewertungen und die Möglichkeit einer nicht authentifizierten Ausnutzung diese Schwachstellen zu einer Priorität für eine schnelle Behebung.
Empfehlungen zur Behebung
- WPMU DEV Dashboard — auf Version 5.0.2 oder höher aktualisieren; Hub-SSO vorübergehend deaktivieren, falls ein sofortiges Update nicht möglich ist
- Avada + Fusion Builder — beide Komponenten aktualisieren: Theme auf 7.16.1, Plugin auf 3.16.1; das Aktualisieren nur einer Komponente beseitigt die Exploit-Kette nicht
- TranslatePress — auf Version 3.3.2 aktualisieren; als Übergangslösung das automatische Speichern von Strings deaktivieren
- Pods — installierten Branch prüfen und auf die entsprechende bereinigte Version aktualisieren (3.3.9.1 für den 3.3.x-Branch); sicherstellen, dass das erzwungene Update von WordPress.org angewendet wurde
- GiveWP — in der WordPress-Adminoberfläche prüfen, ob ein Update auf die aktuelle Version verfügbar ist
- die Zugriffsprotokolle auf ungewöhnliche Anfragen an SSO-, Passwort-Reset- und REST-API-Endpunkte für den Zeitraum vor Veröffentlichung der Patches prüfen
- die Liste der Benutzer mit administrativen Privilegien auf nicht autorisierte Konten überprüfen
Alle vier verifizierten Schwachstellen haben einen CVSS-Score von 9,8, lassen sich ohne Authentifizierung ausnutzen und verfügen bereits über verfügbare Patches. Die Priorität für Updates ist daher maximal. Administratoren von WordPress-Sites, die eine der genannten Komponenten einsetzen, sollten die Fixes innerhalb von Stunden, nicht Tagen, einspielen und eine rückblickende Prüfung auf Anzeichen einer Kompromittierung durchführen, da zwischen Offenlegung der Schwachstellen und Veröffentlichung der Patches mehrere Tage bis zu einer Woche vergingen.
