Eine schwerwiegende Sicherheitslücke im beliebten Avada-Theme für WordPress erlaubt es nicht authentifizierten Angreifern, beliebigen PHP-Code auf dem Server auszuführen. Die als CVE-2026-18431 registrierte Schwachstellenkette vereint sechs Sicherheitslücken in einem sogenannten Zero-Click-Angriff und erhielt mit 9,8 die höchste kritische Bewertung. Die Angriffskette ist besonders gefährlich: Sie erfordert keinerlei Benutzerinteraktion wie einen Mausklick oder das Öffnen einer manipulierten Datei – der Code kann allein durch das Aufrufen einer präparierten URL ausgeführt werden.
Sechs Schritte zur vollständigen Kompromittierung
Die Schwachstelle setzt sich aus Exploits für Autorisierungs-, Eingabevalidierungs-, Vertrauensgrenzen- und Dateiverarbeitungsschwächen zusammen. Angreifer müssen diese in einer spezifischen, genau definierten Reihenfolge ausführen. Erst das Zusammenspiel aller sechs Komponenten ermöglicht die Ausführung beliebigen PHP-Codes auf dem Zielserver. Forscher des Sicherheitsteams Wordfence bei Defiant haben die Kette analysiert und dokumentiert.
Die sechs Phasen des Angriffs im Detail
Die Angriffskette folgt einem logischen, aber komplexen Pfad durch das System. Zunächst wird eine öffentliche Anfrage an den Server gesendet, um kontrollierte Eingabedaten bereitzustellen. Diese Daten werden an eine Funktion weitergeleitet, die eigentlich nicht für anonyme Benutzer zugänglich sein sollte. Anschließend wird eine privilegierte Komponente außerhalb ihres vorgesehenen Kontexts aufgerufen. Ein weiterer Schritt nutzt die bereitgestellten Daten, um den vertrauenswürdigen Systemstatus zu beeinflussen. Danach wird auf eine unzureichend geschützte administrative Operation zugegriffen. Der finale Schritt umgeht die Dateiverarbeitungsbeschränkungen darüber, welche Dateitypen wo abgelegt werden dürfen. Dieses sechsstufige Verfahren wurde von den Sicherheitsforschern detailliert nachvollzogen und bestätigt.
Betroffene Versionen und Verbreitung
CVE-2026-18431 betrifft Avada-Versionen bis einschließlich 7.16 und das Fusion-Builder-Plugin bis Version 3.16. Das Avada-Theme gehört zu den meistverkauften WordPress-Themes mit über einer Million Käufen. Fusion Builder ist ein zwingend erforderliches Plugin für das Avada-Theme, das auf jeder Installation automatisch mitgeliefert wird. Das bedeutet, dass keine Installation von der Schwachstelle ausgenommen ist – jedes System, das Avada einsetzt, ist potenziell verwundbar.
Warum der Exploit alle Installationen betrifft
Im Gegensatz zu einigen zunächst aufkommenden Annahmen schränken die Voraussetzungen den Kreis potenzieller Ziele nicht ein. Da Fusion Builder ein notwendiger Bestandteil des Avada-Themes ist, laufen auf allen Avada-Websites auch die verwundbaren Plugin-Komponenten. Jede Website mit installiertem Avada-Theme ist daher für diesen Exploit anfällig. Dies bestätigte das Wordfence-Team gegenüber der Fachpresse.
Entdeckung und Reaktionszeit
Die sechsstufige Schwachstellenkette wurde von Wordfence mithilfe eines internen, agentenbasierten Frameworks namens Argus entdeckt. Argus entwickelte innerhalb von nur zwei Stunden sowohl den Proof-of-Concept-Exploit-Code als auch eine reproduzierbare Testumgebung. Die Forscher entdeckten und reproduzierten die Schwachstelle am 30. Juli und übermittelten die vollständigen Details am 5. August an den Entwickler. ThemeFusion bestätigte den Bericht am 10. August und veröffentlichte die Korrekturen in Avada 7.16.1 und Fusion Builder 3.16.1 am 26. August. Angesichts der Kritikalität der Lücke war die Reaktionszeit von weniger als drei Wochen zwischen Meldung und Patch bemerkenswert effizient.
Praktische Auswirkungen und Sicherheitsempfehlungen
Hacker, die diese Schwachstelle erfolgreich ausnutzen, könnten Websites vollständig kompromittieren. Die möglichen Folgen reichen vom Einschleusen von Schadsoftware über den Zugriff auf Datenbanken bis hin zur Weiterleitung von Besuchern auf schädliche Websites oder der Erstellung nicht autorisierter Administratorkonten. Betreiber von WordPress-Seiten, die das Avada-Theme einsetzen, sollten umgehend die Aktualisierungen auf Avada 7.16.1 und Fusion Builder 3.16.1 einspielen. Ein weiteres Hinauszögern des Updates setzt die betroffenen Systeme einem erheblichen Kompromittierungsrisiko aus. Angesichts der vollständigen Zero-Click-Ausführbarkeit des Exploits und der hohen Verbreitung des Themes ist davon auszugehen, dass automatisierte Angriffsscans bereits im Gange sind.
