In zwei weit verbreiteten WordPress-Plugins wurden aktuelle Sicherheitslücken entdeckt. Betroffen sind Forminator Forms und Royal Elementor Addons. Besonders kritisch ist eine Schwachstelle in Forminator Forms: Unter bestimmten Voraussetzungen können Bedrohungsakteure ohne gültige Zugangsdaten Schadcode auf einer WordPress-Webseite ausführen und diese im schlimmsten Fall vollständig übernehmen. Das Plugin ist auf mehr als 600.000 WordPress-Webseiten aktiv.
Auch in Royal Elementor Addons wurde eine Sicherheitslücke bekannt, über die Angreifer eine WordPress-Webseite für Zugriffe auf interne Systeme missbrauchen könnten.
In diesem Beitrag geben wir einen Überblick über die beiden Schwachstellen, erklären, welche Versionen betroffen sind, und zeigen, welche Maßnahmen Betreiber von WordPress-Webseiten jetzt ergreifen sollten.
Was ist passiert?
Im WordPress-Plug-in Forminator Forms wurde die kritische Sicherheitslücke CVE-2026-15748 entdeckt. Das Plug-in wird unter anderem verwendet, um Kontaktformulare, Umfragen und andere Formulare auf WordPress-Webseiten einzubinden.
Die Schwachstelle betrifft Versionen bis einschließlich 1.56.1 und ermöglicht es Angreifern unter bestimmten Voraussetzungen, manipulierte Dateien auf den Webserver hochzuladen. Besonders kritisch: Für einen Angriff werden keine gültigen Zugangsdaten benötigt.
Voraussetzung für einen erfolgreichen Angriff ist, dass auf der betroffenen Webseite ein mit Forminator erstelltes Formular sowohl ein Feld für Datei-Uploads als auch ein Auswahlfeld enthält.
Für den Angriff sind keine gültigen Zugangsdaten erforderlich. Stattdessen nutzen die Angreifer die Schwachstellen, um Sicherheitsmechanismen zu umgehen und die Kontrolle über eine verwundbare WordPress-Installation zu übernehmen. Nach einer erfolgreichen Kompromittierung können unter anderem Webshells (Programme, die Angreifern einen dauerhaften Fernzugriff auf den Server ermöglichen) oder andere Hintertüren installiert, Webseiten manipuliert, Schadsoftware verbreitet oder vertrauliche Daten entwendet werden.
Was kann ich tun?
Wir empfehlen Unternehmen und Webseitenbetreibern folgende Maßnahmen:
Weitere Informationen zur Schwachstelle finden Sie bei Wordfence sowie bei All About Security.
Was ist passiert?
Auch im WordPress-Plugin Royal Elementor Addons wurde eine Sicherheitslücke entdeckt. Die Schwachstelle CVE-2026-17123 betrifft laut GitHub Advisory Versionen bis einschließlich 1.7.1064 und wurde mit einem CVSS-Wert von 8,8 von 10 Punkten als „hoch“ eingestuft.
Anders als bei der Schwachstelle in Forminator Forms benötigt ein Angreifer hierfür bereits ein WordPress-Benutzerkonto mit mindestens Contributor- bzw. Mitarbeiter-Rechten. Sollten sich Kriminelle allerdings bereits Zugang zu einer WordPress-Webseite verschafft haben – beispielsweise durch die Ausnutzung der oben beschriebenen Schwachstelle in Forminator Forms – können sie sich unter Umständen ein Benutzerkonto mit den erforderlichen Rechten anlegen und anschließend auch die Schwachstelle in Royal Elementor Addons ausnutzen. Auf diese Weise können mehrere Schwachstellen miteinander verkettet werden.
Hinweis: Auch bereits bekannte und noch nicht geschlossene WordPress-Schwachstellen werden weiterhin von Kriminellen ausgenutzt. Auf entsprechende Angriffsmöglichkeiten und den Einsatz von Webshells als dauerhafte Hintertür haben wir bereits in unserer Gefahrenwarnung zu WP2Shell hingewiesen.
Wie kann die Schwachstelle ausgenutzt werden?
Bei der Schwachstelle handelt es sich um eine sogenannte Server-Side Request Forgery (SSRF). Vereinfacht gesagt kann ein Angreifer den betroffenen Webserver dazu bringen, in seinem Auftrag Anfragen an andere Systeme zu senden.
Dadurch könnte die WordPress-Webseite als Ausgangspunkt für Zugriffe auf interne Systeme und Dienste missbraucht werden, die normalerweise nicht direkt aus dem Internet erreichbar sind. Auf diese Weise könnten Angreifer interne Informationen abfragen oder verändern.
Was kann ich tun?
Wir empfehlen Unternehmen und Webseitenbetreibern folgende Maßnahmen:
Die aktuellen Schwachstellen zeigen erneut, dass nicht nur WordPress selbst, sondern auch installierte Plugins regelmäßig überprüft und aktualisiert werden müssen. Unternehmen sollten daher prüfen, welche Erweiterungen auf ihren WordPress-Webseiten eingesetzt werden, nicht benötigte Plug-ins entfernen und verfügbare Sicherheitsupdates zeitnah installieren.
Ein weiterer Hinweis: Aktivieren Sie nach Möglichkeit automatische Updates für vertrauenswürdige WordPress-Plug-ins, damit wichtige Sicherheitsupdates zeitnah installiert werden.
In unseren aktuellen Incident-Response-Fällen beobachten wir vermehrt Angriffe auf WordPress-Webseiten, bei denen bekannte Schwachstellen im CMS oder in Plug-ins ausgenutzt werden. Die Folgen reichen von der vollständigen Übernahme der Webseite und dem Diebstahl von Zugangsdaten bis hin zur Entwendung sensibler Kundendaten. Häufig sind veraltete und nicht rechtzeitig aktualisierte Systeme die Ursache.
Wir empfehlen daher ein konsequentes Patch-Management für WordPress und alle eingesetzten Plug-ins. Zusätzlich kann eine Web Application Firewall (WAF) helfen, Angriffsversuche frühzeitig zu erkennen und zu blockieren.
Sie möchten über aktuelle Bedrohungen und Sicherheitslücken informiert bleiben?
Abonnieren Sie unseren Newsletter und erhalten Sie wichtige Warnmeldungen, Handlungsempfehlungen und Einschätzungen zu aktuellen Cyberrisiken direkt in Ihr Postfach.
Quellen & weiterführende Informationen
Forminator Forms – CVE-2026-15748
Royal Elementor Addons – CVE-2026-17123