{"id":50115,"date":"2026-08-27T06:33:21","date_gmt":"2026-08-27T04:33:21","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50115"},"modified":"2026-08-27T06:33:21","modified_gmt":"2026-08-27T04:33:21","slug":"avada-theme-sicherheitsluecke-code-ausfuehrung-50115","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/avada-theme-sicherheitsluecke-code-ausfuehrung-50115\/","title":{"rendered":"Kritische L\u00fccke in Avada-Theme erlaubt Code-Ausf\u00fchrung ohne Mausklick"},"content":{"rendered":"

Eine schwerwiegende Sicherheitsl\u00fccke im beliebten Avada-Theme<\/a> f\u00fcr WordPress erlaubt es nicht authentifizierten Angreifern, beliebigen PHP-Code auf dem Server auszuf\u00fchren. Die als CVE-2026-18431 registrierte Schwachstellenkette vereint sechs Sicherheitsl\u00fccken in einem sogenannten Zero-Click-Angriff und erhielt mit 9,8 die h\u00f6chste kritische Bewertung. Die Angriffskette ist besonders gef\u00e4hrlich: Sie erfordert keinerlei Benutzerinteraktion wie einen Mausklick oder das \u00d6ffnen einer manipulierten Datei \u2013 der Code kann allein durch das Aufrufen einer pr\u00e4parierten URL ausgef\u00fchrt werden.<\/p>\n

Sechs Schritte zur vollst\u00e4ndigen Kompromittierung<\/h2>\n

Die Schwachstelle setzt sich aus Exploits f\u00fcr Autorisierungs-, Eingabevalidierungs-, Vertrauensgrenzen- und Dateiverarbeitungsschw\u00e4chen zusammen. Angreifer m\u00fcssen diese in einer spezifischen, genau definierten Reihenfolge ausf\u00fchren. Erst das Zusammenspiel aller sechs Komponenten erm\u00f6glicht die Ausf\u00fchrung beliebigen PHP-Codes auf dem Zielserver. Forscher des Sicherheitsteams Wordfence<\/a> bei Defiant haben die Kette analysiert und dokumentiert.<\/p>\n

Die sechs Phasen des Angriffs im Detail<\/h3>\n

Die Angriffskette folgt einem logischen, aber komplexen Pfad durch das System. Zun\u00e4chst wird eine \u00f6ffentliche Anfrage an den Server gesendet, um kontrollierte Eingabedaten bereitzustellen. Diese Daten werden an eine Funktion weitergeleitet, die eigentlich nicht f\u00fcr anonyme Benutzer zug\u00e4nglich sein sollte. Anschlie\u00dfend wird eine privilegierte Komponente au\u00dferhalb ihres vorgesehenen Kontexts aufgerufen. Ein weiterer Schritt nutzt die bereitgestellten Daten, um den vertrauensw\u00fcrdigen Systemstatus zu beeinflussen. Danach wird auf eine unzureichend gesch\u00fctzte administrative Operation zugegriffen. Der finale Schritt umgeht die Dateiverarbeitungsbeschr\u00e4nkungen dar\u00fcber, welche Dateitypen wo abgelegt werden d\u00fcrfen. Dieses sechsstufige Verfahren wurde von den Sicherheitsforschern detailliert nachvollzogen und best\u00e4tigt.<\/p>\n

Betroffene Versionen und Verbreitung<\/h2>\n

CVE-2026-18431 betrifft Avada-Versionen bis einschlie\u00dflich 7.16 und das Fusion-Builder-Plugin bis Version 3.16. Das Avada-Theme geh\u00f6rt zu den meistverkauften WordPress-Themes mit \u00fcber einer Million K\u00e4ufen. Fusion Builder ist ein zwingend erforderliches Plugin f\u00fcr das Avada-Theme, das auf jeder Installation automatisch mitgeliefert wird. Das bedeutet, dass keine Installation von der Schwachstelle ausgenommen ist \u2013 jedes System, das Avada einsetzt, ist potenziell verwundbar.<\/p>\n

Warum der Exploit alle Installationen betrifft<\/h3>\n

Im Gegensatz zu einigen zun\u00e4chst aufkommenden Annahmen schr\u00e4nken die Voraussetzungen den Kreis potenzieller Ziele nicht ein. Da Fusion Builder ein notwendiger Bestandteil des Avada-Themes ist, laufen auf allen Avada-Websites auch die verwundbaren Plugin-Komponenten. Jede Website mit installiertem Avada-Theme ist daher f\u00fcr diesen Exploit anf\u00e4llig. Dies best\u00e4tigte das Wordfence-Team gegen\u00fcber der Fachpresse.<\/p>\n

Entdeckung und Reaktionszeit<\/h2>\n

Die sechsstufige Schwachstellenkette wurde von Wordfence mithilfe eines internen, agentenbasierten Frameworks namens Argus entdeckt. Argus entwickelte innerhalb von nur zwei Stunden sowohl den Proof-of-Concept-Exploit-Code als auch eine reproduzierbare Testumgebung. Die Forscher entdeckten und reproduzierten die Schwachstelle am 30. Juli und \u00fcbermittelten die vollst\u00e4ndigen Details am 5. August an den Entwickler. ThemeFusion<\/a> best\u00e4tigte den Bericht am 10. August und ver\u00f6ffentlichte die Korrekturen in Avada 7.16.1 und Fusion Builder 3.16.1 am 26. August. Angesichts der Kritikalit\u00e4t der L\u00fccke war die Reaktionszeit von weniger als drei Wochen zwischen Meldung und Patch bemerkenswert effizient.<\/p>\n

Praktische Auswirkungen und Sicherheitsempfehlungen<\/h2>\n

Hacker, die diese Schwachstelle erfolgreich ausnutzen, k\u00f6nnten Websites vollst\u00e4ndig kompromittieren. Die m\u00f6glichen Folgen reichen vom Einschleusen von Schadsoftware \u00fcber den Zugriff auf Datenbanken bis hin zur Weiterleitung von Besuchern auf sch\u00e4dliche Websites oder der Erstellung nicht autorisierter Administratorkonten. Betreiber von WordPress-Seiten<\/a>, die das Avada-Theme einsetzen, sollten umgehend die Aktualisierungen auf Avada 7.16.1 und Fusion Builder 3.16.1 einspielen. Ein weiteres Hinausz\u00f6gern des Updates setzt die betroffenen Systeme einem erheblichen Kompromittierungsrisiko aus. Angesichts der vollst\u00e4ndigen Zero-Click-Ausf\u00fchrbarkeit des Exploits und der hohen Verbreitung des Themes ist davon auszugehen, dass automatisierte Angriffsscans bereits im Gange sind.<\/p>\n","protected":false},"excerpt":{"rendered":"

Eine schwerwiegende Sicherheitsl\u00fccke im beliebten Avada-Theme f\u00fcr WordPress erlaubt es nicht authentifizierten Angreifern, beliebigen PHP-Code auf dem Server auszuf\u00fchren. Die als CVE-2026-18431 registrierte Schwachstellenkette vereint sechs Sicherheitsl\u00fccken in einem sogenannten Zero-Click-Angriff und erhielt mit 9,8 die h\u00f6chste kritische Bewertung. Die Angriffskette ist besonders gef\u00e4hrlich: Sie erfordert keinerlei Benutzerinteraktion wie einen Mausklick oder das \u00d6ffnen einer […]<\/p>\n","protected":false},"author":5,"featured_media":55147,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50115.png","fifu_image_alt":"Kritische L\u00fccke in Avada-Theme erlaubt Code-Ausf\u00fchrung ohne Mausklick","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50115","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50115.png","fifu_image_alt":"Kritische L\u00fccke in Avada-Theme erlaubt Code-Ausf\u00fchrung ohne Mausklick","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50115","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50115"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50115\/revisions"}],"predecessor-version":[{"id":50117,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50115\/revisions\/50117"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55147"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50115"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50115"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50115"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}