Eine kritische Sicherheitslücke im weit verbreiteten WordPress-Plugin Elementor Pro ermöglicht es Angreifern, ohne Authentifizierung beliebige PHP-Dateien hochzuladen und damit Remote Code Execution (RCE) auf dem Server auszuführen. Die Schwachstelle mit der Kennung CVE-2026-32475 wurde von Sicherheitsforschern entdeckt und mit einem CVSS-Score von 9,0 als besonders gravierend eingestuft. Betroffen sind alle Versionen des Plugins bis einschließlich 4.2.1 – ein Update auf Version 4.2.2 schließt die Lücke.
Details der Schwachstelle CVE-2026-32475
Die Sicherheitsanfälligkeit liegt im Forms-Modul von Elementor Pro, genauer gesagt im Datei-Upload-Feld. Der Fehler entsteht durch eine inkonsistente Verarbeitung von leeren Dateieinträgen: Die Überprüfung der Dateiendung und das anschließende Verschieben der hochgeladenen Datei laufen in zwei separaten Schleifen ab, die mit leeren Feldern unterschiedlich umgehen. Ein Angreifer kann diese Diskrepanz ausnutzen, indem er zwei Dateiteile für dasselbe Feld übermittelt. Dadurch wird die Blocklist für Dateiendungen umgangen und eine PHP-Datei in ein öffentliches Verzeichnis geschrieben.
Die hochgeladene Datei landet dann unter wp-content/uploads/elementor/forms/<uniqid>.php, wobei die eindeutige ID aus der PHP-Funktion uniqid() generiert wird. Einmal auf dem Server, kann die Datei direkt aufgerufen werden und ermöglicht dem Angreifer die Ausführung beliebigen PHP-Codes – ohne dass eine vorherige Anmeldung erforderlich ist.
Wie funktioniert der Angriff?
Der Angriff setzt voraus, dass auf der Zielseite mindestens ein Elementor-Formular mit einem Datei-Upload-Feld veröffentlicht wurde. Diese Konfiguration ist extrem verbreitet: Bewerbungsformulare, Formulare zum Hochladen von Ausweisen, Quittungen oder Support-Tickets nutzen dieses Feld standardmäßig. Die Option „Erforderlich“ ist standardmäßig deaktiviert, sodass keine besondere Härtung der Seite nötig ist. Ein unauthentifizierter Besucher kann das Formular aufrufen, eine scheinbar harmlose Datei hochladen – und erhält damit die Kontrolle über den Webserver.
Voraussetzungen und Auswirkungen
Die einzige technische Voraussetzung ist die Existenz eines Formulars mit Upload-Feld. Die Auswirkungen sind jedoch verheerend: Ein entfernter Angreifer kann nicht nur PHP-Skripte ausführen, sondern auch weitere Schadsoftware installieren, Datenbanken auslesen, bestehende Dateien manipulieren oder die Website für Phishing-Angriffe missbrauchen. Die Schwachstelle wird als „Unrestricted Upload of File with Dangerous Type“ klassifiziert und ist eine der gefährlichsten Kategorien von Sicherheitslücken in Webanwendungen.
Zeitlicher Ablauf und Patch
Der Sicherheitsforscher Tin Pham (alias TF1T) entdeckte die Lücke und meldete sie am 16. Juli 2026 im Rahmen des Patchstack Bug Bounty Programms an den Entwickler von Elementor Pro. Nur etwa einen Monat später, am 19. August 2026, veröffentlichte das Unternehmen die Version 4.2.2, die den Fehler behebt. Alle Nutzer des Plugins sollten umgehend aktualisieren, da die Schwachstelle aktiv ausgenutzt werden kann.
Weitere Sicherheitslücken im WordPress-Ökosystem
Nur wenige Tage zuvor veröffentlichte WordPress Core das Update 7.0.4, das eine als CVE-2026-65640 bezeichnete Sicherheitslücke mit einem CVSS-Score von 8,8 schließt. Diese Lücke erlaubt es Autoren (Author-Level) oder höherrangigen Benutzern, durch das Hochladen einer manipulierten Postscript-Datei Remote Code Execution durchzuführen – sofern auf dem Server Imagick und Ghostscript installiert sind. Für Multi-Author-Seiten, Mitgliederportale oder Websites mit offener Registrierung ist diese Angriffsfläche sehr real. In diesem Kontext wurde auch eine groß angelegte Kampagne namens StopAndProtect entdeckt, die tausende kompromittierte WordPress-Websites als Verteilinfrastruktur für Malware und Command-and-Control nutzt.
WordPress-Betreiber sollten nicht nur alle Plugins und Themes aktuell halten, sondern auch regelmäßig nach unbekannten Benutzerkonten, unerwarteten Weiterleitungen oder manipulierten Dateien suchen. Die jüngsten Vorfälle zeigen, dass selbst vermeintlich harmlose Upload-Felder und Standardkonfigurationen zu massiven Sicherheitsverletzungen führen können. Die Kombination aus unzureichender Validierung und der exponentiellen Verbreitung von Website-Buildern wie Elementor macht solche Schwachstellen zu einem bevorzugten Ziel für automatisierte Angriffe.
Mit der zunehmenden Integration von Drittanbieter-Komponenten in WordPress wird die Angriffsfläche kontinuierlich größer. Die Verantwortung liegt bei den Betreibern, durch regelmäßige Updates, Sicherheits-Scans und die Minimierung von Plugins das Risiko zu begrenzen. Die Elementor-Lücke ist ein Paradebeispiel dafür, wie ein kleiner logischer Fehler – zwei getrennte Schleifen mit unterschiedlichem Verhalten – zu einem vollständigen Systemkompromiss führen kann. Es bleibt abzuwarten, ob die Entwickler von Elementor ihre Code-Review-Prozesse anpassen, um derartige Inkonsistenzen in Zukunft zu vermeiden.
