Eine kritische Sicherheitslücke im WordPress-Plugin „All-in-One WP Migration and Backupa“ gefährdet Millionen von Websites. Angreifer können die Schwachstelle ohne Authentifizierung ausnutzen, um Schadcode einzuschleusen und die vollständige Kontrolle über betroffene Installationen zu übernehmen. Das Plugin ist auf über fünf Millionen aktiven Websites im Einsatz – ein Großteil davon läuft noch auf einer verwundbaren Version.
Schwerwiegende SQL-Injection in All-in-One WP Migration and Backup
Die Sicherheitslücke mit der Kennung CVE-2026-19949 wurde vom Sicherheitsforscher Jack Taylor entdeckt und Mitte August über das Wordfence-Programm von Defiant gemeldet. Das Plugin wird genutzt, um komplette WordPress-Websites inklusive Datenbank, Medien, Themes und Plugins zu sichern, zu exportieren, zu importieren oder zwischen Servern und Domains zu verschieben. Die Schwachstelle betrifft alle Versionen bis einschließlich 7.109.
Wordfence stuft die Lücke als hochkritisch ein. Es handelt sich um eine Second-Order-SQL-Injection. Das Problem liegt in der fehlerhaften Verarbeitung von escaped Backslashes und Anführungszeichen, während das Plugin bei der Wiederherstellung eines Archives die Datenbankinhalte umschreibt. Ein nicht authentifizierter Angreifer kann manipulierte Daten über WordPress-Trackbacks platzieren. Der Exploit wird jedoch erst ausgelöst, wenn ein Administrator einen Backup-Export oder -Import durchführt – beides Standardoperationen des Plugins.
Wie der Angriff abläuft
Der eingeschleuste Payload bleibt in der Datenbank zunächst inaktiv. Erst bei der Wiederherstellung eines Backup-Archives, einer Routineaktion für jeden Administrator, verarbeitet das Plugin die SQL-String-Grenzen falsch und führt die hinterlegten Daten als SQL-Code aus. Dieser Vorgang kann die geheime Import-Kennung (ai1wm_secret_key) des Plugins in einem öffentlichen Kommentar preisgeben. Gelingt es dem Angreifer, diesen Schlüssel zu extrahieren, kann er ein schadhaftes .wpress-Archiv importieren, das ausführbaren Code enthält.
Wordfence betont, dass die Codeausführung auf dieser Privilegienstufe zur vollständigen Übernahme der Zielwebsite führen kann. Zwar mindert die Notwendigkeit einer Administratoraktion das akute Risiko, doch da Backup und Wiederherstellung der Kernzweck des Plugins sind, ist ein solcher Vorgang nur eine Frage der Zeit. Selbst eine deaktivierte, aber verwundbare Plugin-Version stellt ein Risiko dar, falls sie temporär aktiviert wird.
Update-Statistik: Millionen Websites bleiben ungeschützt
Laut den Statistiken von WordPress.org hat das Plugin über fünf Millionen aktive Installationen. Der Hersteller ServMask hat die Sicherheitslücke CVE-2026-19949 am 20. August mit der Version 7.110 geschlossen. Dennoch haben nur etwa 35 Prozent der Nutzerbasis auf die aktuelle Version aktualisiert. Das bedeutet, dass rund 3,25 Millionen Websites weiterhin eine verwundbare Version des Plugins einsetzen und potenziell Angriffen ausgesetzt sind.
Warum diese Sicherheitslücke besonders gefährlich ist
Die Schwachstelle kombiniert mehrere Risikofaktoren. Sie ist ohne Authentifizierung ausnutzbar, erfordert keine Benutzerinteraktion seitens des Opfers, und der Exploit bleibt verborgen, bis die nächste administrative Backup-Wiederherstellung stattfindet. Für Betreiber großer WordPress-Netzwerke bedeutet dies, dass ein einziger unachtsamer Import genügt, um die gesamte Site-Infrastruktur zu kompromittieren. Zudem handelt es sich bei dem Plugin um ein zentrales Werkzeug für Migrationen und Umzüge, bei denen ohnehin regelmäßig Archive importiert werden.
Schutzmaßnahmen für Website-Betreiber
Administratoren sollten umgehend prüfen, ob auf ihren Systemen die Version 7.110 oder neuer von „All-in-One WP Migration and Backup“ installiert ist. Ein Update auf die aktuelle Fassung schließt die Schwachstelle zuverlässig. Darüber hinaus empfiehlt sich die Überwachung der Datenbank auf ungewöhnliche Einträge in Kommentaren, die auf einen erfolgreichen Exploit hindeuten könnten. Die Sensibilisierung aller Nutzer mit Administratorrechten für die Risiken von Backup-Importen aus unsicheren Quellen ist ebenfalls ratsam.
Die Aufdeckung dieser Sicherheitslücke zeigt einmal mehr, wie komplex die Sicherheitslandschaft bei Content-Management-Systemen ist. Selbst vertrauenswürdige und weit verbreitete Plugins können kritische Schwachstellen enthalten, die tief in der Logik der Datenverarbeitung verwurzelt sind. Für Unternehmen, die auf WordPress setzen, wird die regelmäßige, automatisierte Überprüfung des Plugin-Bestands auf bekannte Sicherheitslücken und die zeitnahe Einspielung von Patches zu einem unverzichtbaren Bestandteil des Betriebs. Die kommenden Monate werden zeigen, ob die verbleibenden 3,25 Millionen Website-Betreiber die notwendigen Schritte unternehmen oder das Risiko einer Kompromittierung in Kauf nehmen.
