Plugin-Schwachstelle betrifft mehr als 3 Millionen WordPress-Seiten

Eine Schwachstelle im Plugin All-in-One WP Migration and Backup gefährdet nach Angaben des WordPress-Sicherheitsunternehmens Defiant mehr als 3 Millionen Websites.

Die als CVE-2026-19949 geführte und mit einem CVSS-Wert von 8,8 bewertete Schwachstelle handelt es sich um eine sogenannte Second-Order-SQL-Injection in der Archiv-Wiederherstellungsfunktion des Plugins, verursacht durch unzureichend maskierte Nutzereingaben sowie nicht ausreichend vorbereitete SQL-Abfragen. Das Plugin verpackt Websites in sogenannte .wpress-Archive und erlaubt Administratoren, diese auf einem beliebigen Zielserver wiederherzustellen, abgesichert durch einen bei jeder Datenbank-Wiederherstellung neu gespeicherten geheimen Schlüssel.

Für die eigentliche Ausnutzung übermittelt ein Angreifer zwei sogenannte Trackbacks an einen öffentlichen Beitrag, jeweils versehen mit einem abschließenden Backslash sowie einer auf schädlichen Inhalt verweisenden URL. Da das Plugin weder die Backslashes entfernt noch die URLs zurückweist, wird die eigentlich schädliche Eingabe unverändert gespeichert. Archiviert und importiert ein Administrator anschließend die Website, schreibt das Plugin URLs und Tabellenpräfixe in der gespeicherten SQL-Datei um, wodurch die eingeschleuste Eingabe zu ausführbarem SQL-Code wird und den geheimen Schlüssel in einen automatisch freigegebenen, öffentlich sichtbaren Kommentar schreibt. Ein nicht authentifizierter Angreifer kann diesen Schlüssel anschließend über die Kommentar-Schnittstelle der Website auslesen und damit ein präpariertes .wpress-Archiv samt eines bösartigen, automatisch mit ausgeführten Plugins importieren, was zur vollständigen Codeausführung führt.

Defiant warnte, wie bei sämtlichen Schwachstellen zur Remotecodeausführung könne dies über den Einsatz von Webshells und weiteren Techniken zur vollständigen Kompromittierung der gesamten Website führen.

WordPress: Erst 35 Prozent der Installationen aktualisiert

Die Schwachstelle betrifft sämtliche Versionen des Plugins bis einschließlich 7.109 und wurde mit der am 20. August veröffentlichten Version 7.110 behoben. Das Plugin selbst zählt nach eigenen Angaben mehr als 5 Millionen aktive Installationen und gilt als eines der populärsten Backup- und Wiederherstellungswerkzeuge für WordPress. Nach Angaben des offiziellen WordPress-Plugin-Verzeichnisses waren zum 3. September jedoch erst 35 Prozent aller Installationen auf die reparierte Version 7.110 aktualisiert, wodurch schätzungsweise weiterhin rund 3,2 Millionen Websites eine verwundbare Version des Plugins einsetzen. Betreibern betroffener Websites wird dringend zu einer umgehenden Aktualisierung geraten.

(red)