Aktuelles

WordPress macht seinem Namen als Scheunentor wieder mal alle Ehre

Kaum ist die Elementor-Pro-Geschichte einigermaßen ausgestanden, liefert das WordPress-Ökosystem gleich die nächste Runde: Diesmal trifft es ausgerechnet das Plugin, dem eigentlich alle vertrauen, wenn's mal brenzlig wird - All-in-One WP Migration and Backup.

Über 5 Millionen aktive Installationen, eine kritische SQL-Injection-Lücke und ein Angriffsweg, der am Ende in Remote Code Execution münden kann. Kurz: Eines der beliebtesten Backup-Plugins kann gerade selbst zum Sicherheitsrisiko werden.

Was ist passiert?

Die Sicherheitsforscher von Wordfence haben in All-in-One WP Migration and Backup die Schwachstelle CVE-2026-19949 entdeckt - betroffen sind alle Versionen bis einschließlich 7.109. Der Fehler steckt in der Archivwiederherstellungs-Funktion: Vom Benutzer übergebene Parameter werden nicht sauber maskiert, die zugehörige SQL-Abfrage nicht ordentlich vorbereitet. Ergebnis: Unauthentifizierte Angreifer können eigene SQL-Anweisungen an bestehende Abfragen anhängen und so mal eben Daten aus der Datenbank ziehen.

Konkret lässt sich darüber der ai1wm_secret_key abgreifen - vorausgesetzt, ein Website-Administrator führt eine Archivwiederherstellung durch, bei der zuvor über Ping- oder Trackback-Funktionen präparierte Daten mitgesichert wurden. Ist der Secret Key erst einmal in falschen Händen, ist der Weg zur Remote-Codeausführung nicht mehr weit. Der CVSS-Score: 8.8 (High). Kein Grund zur Panik, aber definitiv einer, den Kalender heute Nachmittag für ein Update freizuräumen.

Die ehrliche Randnotiz, die in vielen Kurzmeldungen fehlt: Der vollständige Übernahme-Pfad setzt voraus, dass ein Angreifer vor der Archivierung entsprechend präparierte Trackback-Daten hinterlassen hat und diese später mit zurückgespielt werden. Das macht die Lücke nicht harmlos - aber eben auch keinen Ein-Klick-Totalschaden, wie es manche Schlagzeile suggeriert.

Warum das mehr ist als nur "wieder ein Plugin-Update"

Backup- und Migrations-Plugins genießen naturgemäß erweiterte Rechte auf eurer Installation - sie müssen ja an die Datenbank, an Dateien, an so ziemlich alles heran, was eine Website ausmacht. Genau das macht sie zu einem besonders lohnenden Ziel. Eine Lücke in einem gewöhnlichen Kontaktformular-Plugin ist ärgerlich. Eine Lücke in dem Plugin, das eure komplette Datenbank ein- und ausspielt, ist ein anderes Kaliber.

Was Sie jetzt tun sollten

• Plugin aktualisieren. Klingt banal, ist aber in den allermeisten kompromittierten Installationen schlicht nicht passiert.
• Trackbacks/Pingbacks deaktivieren, falls ihr sie ohnehin nicht nutzt - das nimmt dem konkreten Angriffsweg eine wichtige Voraussetzung.
• Bestehende Backups prüfen, bevor ihr sie zurückspielt, besonders wenn sie älter sind und aus einer Zeit stammen, in der die Lücke bereits bekannt war.
• Admin-Accounts kontrollieren. Unbekannte Admin-Konten sind bei WordPress-Vorfällen dieser Größenordnung so gut wie immer ein Warnsignal.

Kurzum: Kein Grund, das Wochenende zu canceln - aber definitiv ein Grund, das Update-Feld nicht wieder auf "später" zu schieben. Wir übernehmen das für unsere Bestandskunden ohnehin automatisch im Rahmen des Security-Hardenings. Für alle anderen: Ihr wisst, wo ihr uns findet.

08.09.2026