WordPress-Plugins Super Forms und Elementor Pro akut verwundbar

Zwei kritische Schwachstellen in den beliebten WordPress-Plugins — Super Forms (CVE-2026-14894, CVSS 9.8) und Elementor Pro (CVE-2026-32475, CVSS 9.8) — werden aktiv von Angreifern ausgenutzt, um ausführbare PHP-Dateien hochzuladen und Code aus der Ferne auszuführen. Nach Angaben von Wordfence wurden insgesamt mehr als 440 000 Exploit-Versuche blockiert. Betreiber von Websites, auf denen diese Plugins installiert sind, müssen Super Forms umgehend auf Version 6.3.314 und Elementor Pro auf Version 4.2.2 aktualisieren und ihre Websites außerdem auf Indikatoren einer Kompromittierung prüfen.

Technische Details zu den Schwachstellen

Beide Schwachstellen gehören zur Klasse der beliebigen Datei-Uploads ohne Authentifizierung — der Angreifer benötigt für die Durchführung des Angriffs kein Benutzerkonto auf der Website.

CVE-2026-14894 — Super Forms

CVE-2026-14894 betrifft das Plugin Super Forms – Drag & Drop Form Builder in allen Versionen bis einschließlich 6.3.313. Die Schwachstelle wird durch fehlende Validierung der Typen hochgeladener Dateien verursacht, was einem nicht authentifizierten Angreifer ermöglicht, Dateien beliebigen Typs hochzuladen, einschließlich ausführbarer PHP-Skripte. Die CVSS-Bewertung liegt bei 9.8 (kritisch). Beho-ben in Version 6.3.314.

Nach Angaben von Wordfence senden Angreifer in den beobachteten Angriffen einen HTTP-POST-Request an /wp-admin/admin-ajax.php mit der Aktion super_submit_form. Die Nutzlast besteht aus in Base64 kodiertem PHP-Code, der mithilfe des Präfixes data:image/gif;base64 als Bild getarnt wird. Der Dateiname wird vom Angreifer kontrolliert — in den protokollierten Fällen wurde der Name Mushr00w_upl.php verwendet. Bei dieser Datei handelt es sich um eine Webshell zum Hochladen von Dateien, die anschließend als Einstiegspunkt für die Nachladung weiterer schädlicher Komponenten dient.

Der aktiven Ausnutzung zufolge, die von Forschern beobachtet wurde, begann diese am 14. Juli 2026 und erreichte ihren Höhepunkt am 18. August 2026 — über 40 000 Requests innerhalb eines Tages. Insgesamt blockierte Wordfence mehr als 250 000 Versuche, diese Schwachstelle auszunutzen.

CVE-2026-32475 — Elementor Pro

CVE-2026-32475 betrifft Elementor Pro in allen Versionen bis einschließlich 4.2.1. Die Schwachstelle ermöglicht es, die Validierung hochgeladener Dateien im Formular-Widget mit Dateiupload-Feld zu umgehen. Die CVSS-Bewertung liegt bei 9.8 (kritisch). Beho-ben in Version 4.2.2.

Für eine erfolgreiche Ausnutzung muss auf der Zielseite mindestens eine veröffentlichte Seite mit einem Elementor-Pro-Formular-Widget existieren, das ein optionales Dateiupload-Feld enthält. Wie berichtet Wordfence, sendet der Angreifer das Dateiupload-Feld als Array, bei dem das erste Element leer ist und das zweite die PHP-Nutzlast mit der Endung .php enthält. Eine derartige Struktur führt zu einem vorzeitigen Rücksprung aus der Validierungsfunktion, wodurch die Prüfungen von Dateiendung und Dateityp umgangen werden.

Die hochgeladene PHP-Datei wird im Verzeichnis /wp-content/uploads/elementor/forms/ mit einem zufällig generierten Namen abgelegt, jedoch mit der vom Angreifer angegebenen Endung .php. Anschließend ruft der Angreifer die Datei direkt auf, um beliebige Befehle auf dem Server auszuführen.

Die Ausnutzung dieser Schwachstelle begann nach Angaben der Forscher am 19. August 2026. Wordfence blockierte mehr als 190 000 Angriffsversuche.

Folgen einer erfolgreichen Ausnutzung

Eine erfolgreiche Ausnutzung einer der beiden Schwachstellen ermöglicht es einem Angreifer, auf der Website eine ausführbare PHP-Datei — eine Webshell — zu platzieren, über die Folgendes möglich ist:

• Ausführung beliebiger Befehle auf dem Server
• Anlegen von Administrator-Benutzerkonten
• Exfiltration von Daten aus der Datenbank der Website
• Komplette Übernahme der Kontrolle über die WordPress-Website
• Nutzung des kompromittierten Servers als Sprungbrett für weitere Angriffe

Angesichts der Größe des WordPress-Ökosystems und der Verbreitung beider Plugins ist die potenzielle Angriffsfläche beträchtlich. Besonders gefährdet sind E-Commerce-Sites, Unternehmensportale und Ressourcen, die personenbezogene Daten über Formulare verarbeiten.

Bedrohungskontext und Attribution

Wordfence weist darauf hin, dass das „Mushr00w“-Branding im Loader, der bei Angriffen auf Super Forms verwendet wird, an Markierungen erinnert, die mit einem anderen Vorfall in Verbindung gebracht werden. Die Forscher warnen jedoch ausdrücklich, dass die bloße Übereinstimmung beim Branding nicht ausreicht, um eine Verbindung zu einer bestimmten Gruppe herzustellen — derartige Marker lassen sich leicht fälschen oder übernehmen. Eine belastbare Attribution liegt derzeit nicht vor.

Es ist außerdem zu berücksichtigen, dass die genannten Zahlen (250 000 und 190 000 blockierte Versuche) die Telemetriedaten der Wordfence-Firewall wiedergeben und blockierte Requests darstellen, nicht bestätigte Kompromittierungen. Die tatsächliche Zahl der erfolgreich angegriffenen Websites ist unbekannt.

Indikatoren einer Kompromittierung

In den Angriffen auf Super Forms beobachtete IP-Adressen:

• 103.168.147.235
• 103.168.146.131
• 103.154.152.178
• 103.170.97.7
• 182.10.130.51
• 189.4.122.140
• 129.227.46.143
• 64.176.209.104
• 103.164.182.122
• 37.9.33.62

In den Angriffen auf Elementor Pro beobachtete IP-Adressen:

• 2602:fa59:10:7a1::1
• 185.196.220.85
• 103.84.230.85
• 103.90.148.202
• 216.126.225.208
• 167.254.240.75
• 167.254.241.119
• 114.10.17.253
• 114.10.45.151
• 2406:ef80:2:7d19::1

Weitere Indikatoren zur Suche auf dem Server:

• Datei Mushr00w_upl.php oder andere unerwartete PHP-Dateien in Upload-Verzeichnissen
• Beliebige PHP-Dateien im Verzeichnis /wp-content/uploads/elementor/forms/ (dieses Verzeichnis ist für Formulardaten vorgesehen, nicht für ausführbare Skripte)
• POST-Requests an /wp-admin/admin-ajax.php mit den Aktionen super_submit_form oder elementor_pro_forms_send_form von nicht authentifizierten Benutzern

Empfehlungen zur Reaktion

1. Aktualisieren Sie umgehend Super Forms auf Version 6.3.314 und Elementor Pro auf Version 4.2.2
2. Überprüfen Sie die Upload-Verzeichnisse auf unerwartete PHP-Dateien, insbesondere /wp-content/uploads/ und /wp-content/uploads/elementor/forms/
3. Analysieren Sie die Zugriffsprotokolle auf POST-Requests an admin-ajax.php mit den genannten Aktionen von den aufgeführten IP-Adressen
4. Prüfen Sie die Liste der WordPress-Administratoren auf unbekannte oder kürzlich angelegte Benutzerkonten
5. Blockieren Sie die aufgeführten IP-Adressen auf Ebene des WAF oder der Netzwerk-Firewall
6. Wenn Anzeichen einer Kompromittierung vorliegen — führen Sie einen vollständigen Scan der Website auf Backdoors durch, entfernen Sie schädliche Dateien und ändern Sie alle Administrator-Passwörter

Beide Schwachstellen stellen aufgrund der Kombination aus drei Faktoren ein maximales Risiko dar: keine erforderliche Authentifizierung, Möglichkeit zur entfernten Codeausführung und bestätigte aktive Ausnutzung. Wenn auf Ihrer Website Super Forms in einer Version unter 6.3.314 oder Elementor Pro unter 4.2.2 installiert ist, muss das Update vorrangig durchgeführt werden — vor allen anderen Wartungsaufgaben. Eine Verzögerung beim Einspielen des Patches erhöht bei der aktuellen Angriffsdichte (Zehntausende Versuche pro Tag) das Kompromittierungsrisiko erheblich.