{"id":49475,"date":"2026-08-20T12:25:07","date_gmt":"2026-08-20T10:25:07","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=49475"},"modified":"2026-08-20T12:25:07","modified_gmt":"2026-08-20T10:25:07","slug":"elementor-pro-sicherheitsluecke-php-upload-49475","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/elementor-pro-sicherheitsluecke-php-upload-49475\/","title":{"rendered":"Elementor Pro L\u00fccke erlaubt PHP-Upload und Code-Ausf\u00fchrung ohne Anmeldung"},"content":{"rendered":"

Eine kritische Sicherheitsl\u00fccke im weit verbreiteten WordPress-Plugin Elementor Pro<\/a> erm\u00f6glicht es Angreifern, ohne Authentifizierung beliebige PHP-Dateien hochzuladen und damit Remote Code Execution (RCE) auf dem Server auszuf\u00fchren. Die Schwachstelle mit der Kennung CVE-2026-32475<\/strong> wurde von Sicherheitsforschern entdeckt und mit einem CVSS-Score von 9,0 als besonders gravierend eingestuft. Betroffen sind alle Versionen des Plugins bis einschlie\u00dflich 4.2.1 \u2013 ein Update auf Version 4.2.2 schlie\u00dft die L\u00fccke.<\/p>\n

Details der Schwachstelle CVE-2026-32475<\/h2>\n

Die Sicherheitsanf\u00e4lligkeit liegt im Forms-Modul von Elementor Pro, genauer gesagt im Datei-Upload-Feld. Der Fehler entsteht durch eine inkonsistente Verarbeitung von leeren Dateieintr\u00e4gen: Die \u00dcberpr\u00fcfung der Dateiendung und das anschlie\u00dfende Verschieben der hochgeladenen Datei laufen in zwei separaten Schleifen ab, die mit leeren Feldern unterschiedlich umgehen. Ein Angreifer kann diese Diskrepanz ausnutzen, indem er zwei Dateiteile f\u00fcr dasselbe Feld \u00fcbermittelt. Dadurch wird die Blocklist f\u00fcr Dateiendungen umgangen und eine PHP-Datei in ein \u00f6ffentliches Verzeichnis geschrieben.<\/p>\n

Die hochgeladene Datei landet dann unter wp-content\/uploads\/elementor\/forms\/<uniqid>.php<\/em>, wobei die eindeutige ID aus der PHP-Funktion uniqid()<\/em> generiert wird. Einmal auf dem Server, kann die Datei direkt aufgerufen werden und erm\u00f6glicht dem Angreifer die Ausf\u00fchrung beliebigen PHP-Codes \u2013 ohne dass eine vorherige Anmeldung erforderlich ist.<\/p>\n

Wie funktioniert der Angriff?<\/h3>\n

Der Angriff setzt voraus, dass auf der Zielseite mindestens ein Elementor-Formular mit einem Datei-Upload-Feld ver\u00f6ffentlicht wurde. Diese Konfiguration ist extrem verbreitet: Bewerbungsformulare, Formulare zum Hochladen von Ausweisen, Quittungen oder Support-Tickets nutzen dieses Feld standardm\u00e4\u00dfig. Die Option \u201eErforderlich\u201c ist standardm\u00e4\u00dfig deaktiviert, sodass keine besondere H\u00e4rtung der Seite n\u00f6tig ist. Ein unauthentifizierter Besucher kann das Formular aufrufen, eine scheinbar harmlose Datei hochladen \u2013 und erh\u00e4lt damit die Kontrolle \u00fcber den Webserver.<\/p>\n

Voraussetzungen und Auswirkungen<\/h3>\n

Die einzige technische Voraussetzung ist die Existenz eines Formulars mit Upload-Feld. Die Auswirkungen sind jedoch verheerend: Ein entfernter Angreifer kann nicht nur PHP-Skripte ausf\u00fchren, sondern auch weitere Schadsoftware installieren, Datenbanken auslesen, bestehende Dateien manipulieren oder die Website f\u00fcr Phishing-Angriffe missbrauchen. Die Schwachstelle wird als \u201eUnrestricted Upload of File with Dangerous Type\u201c klassifiziert und ist eine der gef\u00e4hrlichsten Kategorien von Sicherheitsl\u00fccken in Webanwendungen.<\/p>\n

Zeitlicher Ablauf und Patch<\/h2>\n

Der Sicherheitsforscher Tin Pham (alias TF1T) entdeckte die L\u00fccke und meldete sie am 16. Juli 2026<\/a> im Rahmen des Patchstack Bug Bounty Programms an den Entwickler von Elementor Pro. Nur etwa einen Monat sp\u00e4ter, am 19. August 2026<\/a>, ver\u00f6ffentlichte das Unternehmen die Version 4.2.2, die den Fehler behebt. Alle Nutzer des Plugins sollten umgehend aktualisieren, da die Schwachstelle aktiv ausgenutzt werden kann.<\/p>\n

Weitere Sicherheitsl\u00fccken im WordPress-\u00d6kosystem<\/h2>\n

Nur wenige Tage zuvor ver\u00f6ffentlichte WordPress Core das Update 7.0.4, das eine als CVE-2026-65640 bezeichnete Sicherheitsl\u00fccke mit einem CVSS-Score von 8,8 schlie\u00dft. Diese L\u00fccke erlaubt es Autoren (Author-Level) oder h\u00f6herrangigen Benutzern, durch das Hochladen einer manipulierten Postscript-Datei Remote Code Execution durchzuf\u00fchren \u2013 sofern auf dem Server Imagick und Ghostscript installiert sind. F\u00fcr Multi-Author-Seiten, Mitgliederportale oder Websites mit offener Registrierung ist diese Angriffsfl\u00e4che sehr real. In diesem Kontext wurde auch eine gro\u00df angelegte Kampagne namens StopAndProtect entdeckt, die tausende kompromittierte WordPress-Websites als Verteilinfrastruktur f\u00fcr Malware und Command-and-Control nutzt.<\/p>\n

WordPress-Betreiber sollten nicht nur alle Plugins und Themes aktuell halten, sondern auch regelm\u00e4\u00dfig nach unbekannten Benutzerkonten, unerwarteten Weiterleitungen oder manipulierten Dateien suchen. Die j\u00fcngsten Vorf\u00e4lle zeigen, dass selbst vermeintlich harmlose Upload-Felder und Standardkonfigurationen zu massiven Sicherheitsverletzungen f\u00fchren k\u00f6nnen. Die Kombination aus unzureichender Validierung und der exponentiellen Verbreitung von Website-Buildern wie Elementor macht solche Schwachstellen zu einem bevorzugten Ziel f\u00fcr automatisierte Angriffe.<\/p>\n

Mit der zunehmenden Integration von Drittanbieter-Komponenten in WordPress wird die Angriffsfl\u00e4che kontinuierlich gr\u00f6\u00dfer. Die Verantwortung liegt bei den Betreibern, durch regelm\u00e4\u00dfige Updates, Sicherheits-Scans und die Minimierung von Plugins das Risiko zu begrenzen. Die Elementor-L\u00fccke ist ein Paradebeispiel daf\u00fcr, wie ein kleiner logischer Fehler \u2013 zwei getrennte Schleifen mit unterschiedlichem Verhalten \u2013 zu einem vollst\u00e4ndigen Systemkompromiss f\u00fchren kann. Es bleibt abzuwarten, ob die Entwickler von Elementor ihre Code-Review-Prozesse anpassen, um derartige Inkonsistenzen in Zukunft zu vermeiden.<\/p>\n","protected":false},"excerpt":{"rendered":"

Eine kritische Sicherheitsl\u00fccke im weit verbreiteten WordPress-Plugin Elementor Pro erm\u00f6glicht es Angreifern, ohne Authentifizierung beliebige PHP-Dateien hochzuladen und damit Remote Code Execution (RCE) auf dem Server auszuf\u00fchren. Die Schwachstelle mit der Kennung CVE-2026-32475 wurde von Sicherheitsforschern entdeckt und mit einem CVSS-Score von 9,0 als besonders gravierend eingestuft. Betroffen sind alle Versionen des Plugins bis einschlie\u00dflich […]<\/p>\n","protected":false},"author":5,"featured_media":49479,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/de\/ocie_1787221524272.jpg","fifu_image_alt":"Elementor Pro L\u00fccke erlaubt PHP-Upload und Code-Ausf\u00fchrung ohne Anmeldung","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-49475","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/pub-4d4fc17555de4152be07eaf2a416a31e.r2.dev\/de\/ocie_1787221524272.jpg","fifu_image_alt":"Elementor Pro L\u00fccke erlaubt PHP-Upload und Code-Ausf\u00fchrung ohne Anmeldung","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49475","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=49475"}],"version-history":[{"count":3,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49475\/revisions"}],"predecessor-version":[{"id":49478,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49475\/revisions\/49478"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/49479"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=49475"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=49475"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=49475"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}