{"id":51012,"date":"2026-09-03T08:25:30","date_gmt":"2026-09-03T06:25:30","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51012"},"modified":"2026-09-03T08:25:30","modified_gmt":"2026-09-03T06:25:30","slug":"all-in-one-wp-migration-sicherheitsluecke-wordpress-backup-plugin-cve-2026-19949wordpress-backup-plugin-cve-2026-19949wordpress-backup-plugin-cve-2026-19949wordpress-backup-plugin-cve-2026-19949wordpr","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/all-in-one-wp-migration-sicherheitsluecke-wordpress-backup-plugin-cve-2026-19949wordpress-backup-plugin-cve-2026-19949wordpress-backup-plugin-cve-2026-19949wordpress-backup-plugin-cve-2026-19949wordpr\/","title":{"rendered":"WordPress-Backup-Plugin erm\u00f6glicht \u00dcbernahme von Millionen Websites"},"content":{"rendered":"

Eine kritische Sicherheitsl\u00fccke im WordPress-Plugin \u201eAll-in-One WP Migration and Backup<\/a>a\u201c gef\u00e4hrdet Millionen von Websites. Angreifer k\u00f6nnen die Schwachstelle ohne Authentifizierung ausnutzen, um Schadcode einzuschleusen und die vollst\u00e4ndige Kontrolle \u00fcber betroffene Installationen zu \u00fcbernehmen. Das Plugin ist auf \u00fcber f\u00fcnf Millionen aktiven Websites im Einsatz \u2013 ein Gro\u00dfteil davon l\u00e4uft noch auf einer verwundbaren Version.<\/p>\n

Schwerwiegende SQL-Injection in All-in-One WP Migration and Backup<\/h2>\n

Die Sicherheitsl\u00fccke mit der Kennung CVE-2026-19949 wurde vom Sicherheitsforscher Jack Taylor entdeckt und Mitte August \u00fcber das Wordfence-Programm von Defiant gemeldet. Das Plugin wird genutzt, um komplette WordPress-Websites inklusive Datenbank, Medien, Themes und Plugins zu sichern, zu exportieren, zu importieren oder zwischen Servern und Domains zu verschieben. Die Schwachstelle betrifft alle Versionen bis einschlie\u00dflich 7.109.<\/p>\n

Wordfence stuft die L\u00fccke als hochkritisch ein. Es handelt sich um eine Second-Order-SQL-Injection. Das Problem liegt in der fehlerhaften Verarbeitung von escaped Backslashes und Anf\u00fchrungszeichen, w\u00e4hrend das Plugin bei der Wiederherstellung eines Archives die Datenbankinhalte umschreibt. Ein nicht authentifizierter Angreifer kann manipulierte Daten \u00fcber WordPress-Trackbacks platzieren. Der Exploit wird jedoch erst ausgel\u00f6st, wenn ein Administrator einen Backup-Export oder -Import durchf\u00fchrt \u2013 beides Standardoperationen des Plugins.<\/p>\n

Wie der Angriff abl\u00e4uft<\/h2>\n

Der eingeschleuste Payload bleibt in der Datenbank zun\u00e4chst inaktiv. Erst bei der Wiederherstellung eines Backup-Archives, einer Routineaktion f\u00fcr jeden Administrator, verarbeitet das Plugin die SQL-String-Grenzen falsch und f\u00fchrt die hinterlegten Daten als SQL-Code aus. Dieser Vorgang kann die geheime Import-Kennung (ai1wm_secret_key<\/i>) des Plugins in einem \u00f6ffentlichen Kommentar preisgeben. Gelingt es dem Angreifer, diesen Schl\u00fcssel zu extrahieren, kann er ein schadhaftes .wpress-Archiv importieren, das ausf\u00fchrbaren Code enth\u00e4lt.<\/p>\n

Wordfence betont, dass die Codeausf\u00fchrung auf dieser Privilegienstufe zur vollst\u00e4ndigen \u00dcbernahme der Zielwebsite f\u00fchren kann. Zwar mindert die Notwendigkeit einer Administratoraktion das akute Risiko, doch da Backup und Wiederherstellung der Kernzweck des Plugins sind, ist ein solcher Vorgang nur eine Frage der Zeit. Selbst eine deaktivierte, aber verwundbare Plugin-Version stellt ein Risiko dar, falls sie tempor\u00e4r aktiviert wird.<\/p>\n

Update-Statistik: Millionen Websites bleiben ungesch\u00fctzt<\/h3>\n

Laut den Statistiken von WordPress.org hat das Plugin \u00fcber f\u00fcnf Millionen aktive Installationen. Der Hersteller ServMask<\/a> hat die Sicherheitsl\u00fccke CVE-2026-19949 am 20. August mit der Version 7.110 geschlossen. Dennoch haben nur etwa 35 Prozent der Nutzerbasis auf die aktuelle Version aktualisiert. Das bedeutet, dass rund 3,25 Millionen Websites weiterhin eine verwundbare Version des Plugins einsetzen und potenziell Angriffen ausgesetzt sind.<\/p>\n

Warum diese Sicherheitsl\u00fccke besonders gef\u00e4hrlich ist<\/h2>\n

Die Schwachstelle kombiniert mehrere Risikofaktoren. Sie ist ohne Authentifizierung ausnutzbar, erfordert keine Benutzerinteraktion seitens des Opfers, und der Exploit bleibt verborgen, bis die n\u00e4chste administrative Backup-Wiederherstellung stattfindet. F\u00fcr Betreiber gro\u00dfer WordPress-Netzwerke bedeutet dies, dass ein einziger unachtsamer Import gen\u00fcgt, um die gesamte Site-Infrastruktur zu kompromittieren. Zudem handelt es sich bei dem Plugin um ein zentrales Werkzeug f\u00fcr Migrationen und Umz\u00fcge, bei denen ohnehin regelm\u00e4\u00dfig Archive importiert werden.<\/p>\n

Schutzma\u00dfnahmen f\u00fcr Website-Betreiber<\/h3>\n

Administratoren sollten umgehend pr\u00fcfen, ob auf ihren Systemen die Version 7.110 oder neuer von \u201eAll-in-One WP Migration and Backup\u201c installiert ist. Ein Update auf die aktuelle Fassung schlie\u00dft die Schwachstelle zuverl\u00e4ssig. Dar\u00fcber hinaus empfiehlt sich die \u00dcberwachung der Datenbank auf ungew\u00f6hnliche Eintr\u00e4ge in Kommentaren, die auf einen erfolgreichen Exploit hindeuten k\u00f6nnten. Die Sensibilisierung aller Nutzer mit Administratorrechten f\u00fcr die Risiken von Backup-Importen aus unsicheren Quellen ist ebenfalls ratsam.<\/p>\n

Die Aufdeckung dieser Sicherheitsl\u00fccke zeigt einmal mehr, wie komplex die Sicherheitslandschaft bei Content-Management-Systemen ist. Selbst vertrauensw\u00fcrdige und weit verbreitete Plugins k\u00f6nnen kritische Schwachstellen enthalten, die tief in der Logik der Datenverarbeitung verwurzelt sind. F\u00fcr Unternehmen, die auf WordPress setzen, wird die regelm\u00e4\u00dfige, automatisierte \u00dcberpr\u00fcfung des Plugin-Bestands auf bekannte Sicherheitsl\u00fccken und die zeitnahe Einspielung von Patches zu einem unverzichtbaren Bestandteil des Betriebs. Die kommenden Monate werden zeigen, ob die verbleibenden 3,25 Millionen Website-Betreiber die notwendigen Schritte unternehmen oder das Risiko einer Kompromittierung in Kauf nehmen.<\/p>\n","protected":false},"excerpt":{"rendered":"

Eine kritische Sicherheitsl\u00fccke im WordPress-Plugin \u201eAll-in-One WP Migration and Backupa\u201c gef\u00e4hrdet Millionen von Websites. Angreifer k\u00f6nnen die Schwachstelle ohne Authentifizierung ausnutzen, um Schadcode einzuschleusen und die vollst\u00e4ndige Kontrolle \u00fcber betroffene Installationen zu \u00fcbernehmen. Das Plugin ist auf \u00fcber f\u00fcnf Millionen aktiven Websites im Einsatz \u2013 ein Gro\u00dfteil davon l\u00e4uft noch auf einer verwundbaren Version. Schwerwiegende […]<\/p>\n","protected":false},"author":5,"featured_media":53671,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51012.png","fifu_image_alt":"WordPress-Backup-Plugin erm\u00f6glicht \u00dcbernahme von Millionen Websites","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51012","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51012.png","fifu_image_alt":"WordPress-Backup-Plugin erm\u00f6glicht \u00dcbernahme von Millionen Websites","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51012","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51012"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51012\/revisions"}],"predecessor-version":[{"id":51014,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51012\/revisions\/51014"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53671"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51012"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51012"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51012"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}