Mehr als 400.000 WordPress-Websites sind durch eine kritische Sicherheitsl\u00fccke im \u00dcbersetzungs-Plugin TranslatePress gef\u00e4hrdet. Angreifer k\u00f6nnen ohne Authentifizierung einen Passwort-Reset-Link f\u00fcr Administratorkonten abgreifen und so die vollst\u00e4ndige Kontrolle \u00fcber die betroffene WordPress-Instanz \u00fcbernehmen. Parallel dazu bleiben Hunderte Installationen des Single-Sign-On-Plugins miniOrange SAML 2.0 angreifbar, obwohl Sicherheitsupdates verf\u00fcgbar sind \u2013 ein Vers\u00e4umnis, das Angreifer bereits aktiv ausnutzen.<\/p>\n
Die Schwachstelle in TranslatePress wurde von den Sicherheitsanalysten des IT-Unternehmens Wordfence<\/a> entdeckt und dokumentiert. Unter dem CVE-Eintrag CVE-2026-19632 verzeichnet die Schwachstelle einen CVSS-Score von 9,8 und wird als \u201ekritisch\u201c eingestuft. Entscheidend f\u00fcr die Ausnutzbarkeit ist eine spezifische Konfiguration: Die Sicherheitsl\u00fccke tritt nur dann auf, wenn im Administrationsprofil des WordPress-Backends eine zweite Sprache aktiviert wurde. Angesichts der Tatsache, dass TranslatePress ein \u00dcbersetzungs-Plugin ist, ist diese Einstellung jedoch auf einem erheblichen Teil der aktiven Installationen anzutreffen. Die Version 3.3.2 des Plugins schlie\u00dft die L\u00fccke; alle \u00e4lteren Versionen gelten als verwundbar.<\/p>\n Der Angriff erfordert keinerlei Authentifizierung. Nicht authentifizierte Besucher der Website k\u00f6nnen durch eine manipulierte Anfrage einen Passwort-Reset-Link generieren lassen, der ihnen direkt ausgespielt wird. Mit diesem Link k\u00f6nnen sie das Administratorkonto \u00fcbernehmen und in der Folge beliebige Aktionen auf der WordPress-Seite durchf\u00fchren \u2013 von der Installation von Schadsoftware \u00fcber die Manipulation von Inhalten bis hin zum Auslesen der Datenbank. Die Gefahr ist als akut zu bewerten, da eine Ausnutzung technisch wenig anspruchsvoll ist und keine Benutzerinteraktion erfordert.<\/p>\n Eine zweite, ebenso schwerwiegende Bedrohung geht vom Plugin miniOrange SAML 2.0 aus, das f\u00fcr die zentrale Zugangsverwaltung \u00fcber Single Sign On (SSO) eingesetzt wird. Bereits im Juli und August des Jahres wurden zwei Schwachstellen in diesem Plugin bekannt gegeben. Die erste L\u00fccke (CVE-2026-15981) wurde wiederum mit einem CVSS-Score von 9,8 als \u201ekritisch\u201c bewertet, die zweite (CVE-2026-61979) mit einem Score von 8,1 als \u201ehoch\u201c. Die Sicherheitsfirma Patchstack<\/a> hat die Verwundbarkeit detailliert analysiert. Auch hier ist keine Authentifizierung notwendig; ein Angreifer kann sich als beliebiger Benutzer \u2013 inklusive des Administrators \u2013 ausgeben und erh\u00e4lt so unmittelbaren Zugriff auf das Backend der WordPress-Seite.<\/p>\n Das eigentliche Problem, das diese Schwachstelle so nachhaltig gef\u00e4hrlich macht, liegt jedoch in der un\u00fcbersichtlichen Update-Politik des Plugin-Anbieters. Unter einem einzigen Plugin-Eintrag im offiziellen WordPress-Plugin-Verzeichnis sind nicht weniger als sieben verschiedene Abonnement-Typen zusammengefasst: die kostenlose Version und sechs kostenpflichtige Editionen. Jede dieser Editionen hat eine eigene Versionierung. Die \u00f6ffentlichen Sicherheitsmeldungen und die zugeh\u00f6rigen CVE-Eintr\u00e4ge bezogen sich jedoch ausschlie\u00dflich auf die kostenlose Version. Die sechs Bezahlversionen wurden zwar ebenfalls mit Patches versehen, dies geschah jedoch ohne ver\u00f6ffentlichtes Changelog und ohne separate Sicherheitsmitteilung. Sie tauchten in keiner \u00f6ffentlichen Schwachstellendatenbank auf. Ein g\u00e4ngiger Sicherheitsscan, der die Plugin-Version pr\u00fcft, meldete verwundbare Premium-Installationen daher f\u00e4lschlicherweise als sicher.<\/p>\n Hinzu kommt ein weiteres operationelles Risiko: \u00c4ltere, anf\u00e4llige Versionen des Plugins \u2013 konkret die 16er-Reihe \u2013 unterst\u00fctzen keine automatischen, verwalteten Updates. Administratoren sind hier gezwungen, die aktualisierte Version manuell herunterzuladen und aufzuspielen. Diese Kombination aus intransparenter Versionierung, fehlenden CVE-Meldungen f\u00fcr Premium-Editionen und manuellem Update-Zwang hat zu einer Vielzahl weiterhin verwundbarer Installationen gef\u00fchrt. Das Honeypot-Netzwerk des Cloud-Anbieters DigitalOcean hat zwischenzeitlich bereits aktive Angriffsversuche auf diese spezifischen Schwachstellen registriert. IT-Verantwortliche sind daher dringend aufgefordert, den genauen Bereitstellungsstatus ihres miniOrange SAML-Plugins zu pr\u00fcfen und sicherzustellen, dass alle Abonnement-Typen auf dem aktuellen, fehlerbereinigten Stand sind.<\/p>\nAngriffspfad und Auswirkungen auf die Sicherheit<\/h2>\n
Die anhaltende Gefahr durch miniOrange SAML 2.0<\/h2>\n
Ein systemisches Problem: Plugins als Einfallstor<\/h2>\n