10Web Booster: kritische Upload-Lücke ohne Login bei über 60.000 WordPress-Sites

Markus Seyfferth

Autor Dr. Web

15. Oktober 2026

3 Min. Lesezeit

Im 10Web Booster, einem Plugin für kürzere Ladezeiten, konnten Fremde ohne Anmeldung Dateien auf den Server laden, sobald eine Stapel-Optimierung der Bilder pausierte. Wordfence bewertet die Lücke mit 9,8 von 10 Punkten, Version 2.34.11 vom 13. Oktober behebt den Fehler. Laut wordpress.org lief am 15. Oktober noch mehr als ein Drittel der über 60.000 Installationen auf Versionszweigen vor 2.34.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Fünf Sicherheitslücken in knapp neun Wochen hat Wordfence seit Mitte August für den 10Web Booster veröffentlicht. Die jüngste, CVE-2026-108587 vom 14. Oktober, meldete Osman Hussein von Onvio.^[1] Diese Lücke ist die schwerste der Serie, Angreifer ohne Konto übernehmen damit die ganze Website.

Das Wichtigste in Kürze

CVE-2026-108587 betrifft den 10Web Booster bis Version 2.34.10 und ist in 2.34.11 vom 13. Oktober behoben (CVSS 3.1: 9,8, vergeben von Wordfence).
Angreifbar sind Websites, auf denen eine Stapel-Optimierung der Bilder pausiert hat.
Im Formular-Plugin Form Maker desselben Herstellers schließt Version 1.15.49 eine SQL-Lücke ohne Login.
Angriffe sind bis zum 15. Oktober nicht bekannt.

Wie gelangt ein Fremder an den Schlüssel zum Upload?

Ein oranger Schlüssel und eine Tafel mit der Aufschrift „Kurze Pause“ liegen auf einer Matte vor weißem Hintergrund — Das 10Web-Plugin komprimiert Bilder und cached Seiten für schnellere WordPress-Websites. Eine Nonce-basierte Zugangskontrolle schützt die Bildkompression

Der Booster komprimiert Bilder und legt Seiten im Cache ab, damit eine WordPress-Website schneller lädt. Für die Bildkompression bringt das Plugin des Herstellers 10Web eine eigene Schnittstelle mit.^[2] Als Zugangskontrolle diente ein Nonce, ein Prüfwert, den WordPress für einzelne Formulare und Anfragen ausgibt.

Pausierte eine Stapel-Optimierung, schrieb der Booster diesen Prüfwert in eine Datei im öffentlich lesbaren Upload-Ordner. Den Prüfwert hatte ein Hintergrundprozess ohne angemeldeten Nutzer erzeugt, deshalb galt der Wert für jeden nicht angemeldeten Besucher.^[1] Mit dem Wert erreichte ein Angreifer eine Upload-Funktion, die weder Dateityp noch Endung prüfte. Der Server führt eine eingeschleuste PHP-Datei als Programm aus, über diese Datei steuert der Angreifer die ganze Website.

Upload-Lücken ohne Login gehören zu den gefährlichsten Schwachstellenarten: Bei Bricksforge nutzten Angreifer eine solche Lücke Anfang Oktober bereits aus.

Warum schützt ein Nonce die Schnittstelle nicht?

Die Entwicklerdokumentation von WordPress warnt davor, Anmeldung, Berechtigungen oder Zugriffskontrolle auf Nonces zu stützen.^[3] Ein Nonce belegt nur, dass eine Anfrage aus einem erwarteten Formular stammt. Über die Rechte des Absenders sagt der Wert nichts, eine eigene Rechteprüfung fehlte im Booster.

Dasselbe Muster steckt im Form Maker von 10Web mit mehr als 30.000 Installationen. Bis Version 1.15.48 übernahm das Plugin Formulardaten ungeprüft in eine Datenbankabfrage, Angreifer ohne Login konnten so Inhalte der Datenbank auslesen (CVSS 3.1: 7,5). Den nötigen Nonce gab jede öffentliche Seite mit Formular im Quelltext aus.^[4] Wordfence zählt für Form Maker sieben Lücken seit August. Vergleichbare SQL-Lücken ohne Login schlossen zuletzt LatePoint und Unlimited Elements.

10Web-Booster-Lücke CVE-2026-108587 im Steckbrief

Schwere, Reichweite und Zeitablauf, Stand 15. Oktober 2026

60.000+

aktive Installationen des 10Web Booster laut wordpress.org

9,8

Punkte nach CVSS 3.1 vergibt Wordfence, Angriff ohne Anmeldung möglich

39 %

der Installationen liefen am 15. Oktober auf Versionszweigen vor 2.34

Lücken im Booster hat Wordfence seit dem 17. August veröffentlicht

Vom Vorgänger bis zur Offenlegung

17. August

Auftakt

Wordfence meldet eine Lücke ohne Login für eingeschleuste Skripte (bis 2.33.4)

9. Oktober

Vorgänger

Die nächste Skript-Lücke ohne Login betrifft Versionen bis 2.34.8

13. Oktober

Patch

Version 2.34.11 sichert Bildoptimierung und Schnittstelle ab

14. Oktober

Offenlegung

Wordfence veröffentlicht CVE-2026-108587, Angriffe sind nicht bekannt

Ein Nonce ist ein Stempel auf dem Formular, kein Türschloss. Der Booster hat den Stempel obendrein ins Schaufenster gelegt.
Michael Dobler, Herausgeber Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie den Booster auf Version 2.34.11 und Form Maker auf 1.15.49 oder neuer. Prüfen Sie gerne, ob automatische Plugin-Updates laufen.
Upload-Ordner durchsehen: Unbekannte PHP-Dateien im Upload-Verzeichnis sind ein Warnzeichen, Bilder und Dokumente gehören dorthin, Programme nicht.
Konten kontrollieren: Suchen Sie nach Administratoren, die niemand angelegt hat, und nach kürzlich veränderten Dateien.
Kundensites nach Dringlichkeit ordnen: Agenturen aktualisieren zuerst Installationen, die Bilder per Stapel-Optimierung komprimieren.

Speed-Plugins schreiben Dateien und starten Hintergrundprozesse, ihre Angriffsfläche ist entsprechend groß. Auch bei Breeze und W3 Total Cache fanden Forscher zuletzt Lücken. Wie viel Tempo schon das Hosting bringt, zeigt unser Beitrag zu WordPress-Performance und PageSpeed.

Nach einer Übernahme liegen auch Formulareinträge und Kundendaten offen. Die DSGVO verlangt Schutz nach dem Stand der Technik (Art. 32), ein Datenabfluss löst die Meldepflicht binnen 72 Stunden aus (Art. 33).^[5] Managed-Hoster mit Update-Service listet der WordPress-Hosting-Vergleich.

Was ist der 10Web Booster?

Der 10Web Booster ist ein WordPress-Plugin des Herstellers 10Web, das Bilder komprimiert und Seiten im Cache ablegt, damit eine Website schneller lädt. Laut wordpress.org läuft das Plugin auf mehr als 60.000 Websites.

Welche Version des 10Web Booster ist sicher?

Sicher ist Version 2.34.11 vom 13. Oktober 2026 oder neuer. Alle Versionen bis einschließlich 2.34.10 enthalten die Lücke CVE-2026-108587. Welche Version installiert ist, zeigt die Plugin-Übersicht im WordPress-Dashboard.

Ist meine Website ohne Bildoptimierung betroffen?

Laut Wordfence liegt der nötige Prüfwert nur offen, nachdem eine Stapel-Optimierung der Bilder pausiert hat. Ohne Bildoptimierung fehlt diese Voraussetzung. Das Update auf 2.34.11 empfiehlt sich trotzdem, weil Einstellungen sich später ändern können.

Was ist ein Nonce in WordPress?

Ein Nonce ist ein zeitlich begrenzter Prüfwert, den WordPress an Formulare und Links hängt. Der Wert belegt, dass eine Anfrage aus dem erwarteten Formular stammt. Über die Rechte des Absenders verrät der Prüfwert nichts, deshalb ersetzt ein Nonce keine Rechteprüfung.

Wird die Lücke im 10Web Booster schon ausgenutzt?

Bis zum 15. Oktober 2026 sind keine Angriffe bekannt, die US-Behörde CISA führt die Lücke nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Die Lücke steht damit auf der Stufe „Patch verfügbar“.