Über die Suchfunktion einer Website konnten Fremde ohne Anmeldung Shortcodes ausführen, wenn dort ein Werbeblock von Ad Inserter erschien. Wordfence hat die Lücke am 30. Oktober offengelegt, Version 2.8.20 schließt sie. Seit August sind 13 Lücken im Plugin bekannt geworden.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Wordfence hat am 30. Oktober eine Lücke im WordPress-Plugin Ad Inserter des Entwicklers Igor Funa veröffentlicht, betroffen sind alle Versionen bis 2.8.19. Laut wordpress.org läuft das Werbe-Plugin auf über 300.000 Websites. CVE-2026-102905 erhält 6,5 von 10 Punkten nach CVSS 3.1, vergeben von Wordfence.[1]
Das Wichtigste in Kürze
- Über den Suchbegriff ließen sich Shortcodes ausführen, sofern ein Werbeblock mit Platzhaltern auf Suchseiten eingeblendet war.
- Version 2.8.20 vom 28. Oktober behebt die Lücke und vier weitere Fehler, über die sich Schadcode einschleusen ließ.
- Angriffe sind nicht bekannt, die US-Behörde CISA führt die Lücke nicht in ihrem Katalog ausgenutzter Schwachstellen.[5]
Wie ließen sich über die Suche Shortcodes ausführen?
Ad Inserter kennt für Werbecode Platzhalter, etwa für Titel, Kategorie oder Schlagwort der aktuellen Seite. Auf Suchseiten setzt das Plugin dort Teile des Suchbegriffs ein. Bis 2.8.19 schickte es den fertigen Werbeblock erst danach durch die Shortcode-Verarbeitung von WordPress. Stand im Suchbegriff ein Shortcode, führte die Website ihn aus, samt Funktionen anderer Plugins, die sonst nur Redakteuren offenstehen.[1]
Die Lücke setzt eine Einstellung voraus: Ein Administrator muss einen Block mit solchen Platzhaltern auch auf Suchseiten einblenden. Wordfence hält das für üblich, ab Werk ist diese Anzeige laut Quellcode aber ausgeschaltet. Ein Vergleich von 2.8.19 und 2.8.20 zeigt die Korrektur: Eckige Klammern in eingesetzten Werten wandelt das Plugin nun in harmlose Zeichen um, sodass daraus kein Shortcode mehr entsteht.[2]
Gemeldet hat die Lücke ein Sicherheitsforscher, der sich Kuba nennt. Am selben Tag wie Wordfence veröffentlichte Patchstack eine zweite Lücke bis 2.8.19: Fremde konnten ohne Anmeldung Schadcode einschleusen, der im Browser anderer Nutzer läuft. Dazu muss ein Nutzer selbst etwas tun, etwa einen präparierten Link öffnen (7,1 Punkte).[3]
13 Lücken seit August: Shortcodes als wiederkehrendes Muster
Seit dem 6. August führen die Datenbanken von Wordfence, Patchstack und WPScan 13 Lücken in Ad Inserter.[1][3] Am schwersten wog eine Lücke aus dem September: Bei einer bestimmten Einstellung konnten schon Nutzer mit der einfachsten WordPress-Rolle Abonnent PHP-Code speichern, den der Server später ausführte. Version 2.8.19 behob sie.[4]
Derselbe Forscher meldete auch die Shortcode-Lücke in Ninja Forms, die Wordfence ebenfalls am 30. Oktober offenlegte. Im Oktober traf dieselbe Art von Fehler schon Forminator und Ocean Extra. Das Muster ist immer gleich: Ein Plugin setzt Eingaben von Besuchern in Text ein und lässt diesen Text danach von WordPress auswerten.
Am 29. Oktober, einen Tag nach 2.8.20, zählte wordpress.org 64.759 Downloads, rund das 33-Fache des Vortags. Am 2. November liefen 9,6 Prozent der Installationen auf der älteren Reihe 2.7 und sind damit anfällig. Für die Reihe 2.8 mit 88,7 Prozent nennt die Statistik keine Unterversionen.[2]
Von der Meldung bis zur Offenlegung
Angriffe auf die Lücke sind bis zum 2. November nicht bekannt. Betroffen sind nur Websites, die Werbeblöcke mit Platzhaltern auf Suchseiten zeigen.
Ein Suchfeld ist für Besucher gedacht, nicht für Befehle an den Server. Werbe-Plugins laufen auf fast jeder Seite mit, ihre Updates gehören deshalb in die Automatik.
Michael Dobler, Herausgeber Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Version 2.8.20 ein und schalten Sie automatische Updates für Ad Inserter ein.
- Blöcke prüfen: Kontrollieren Sie, welche Werbeblöcke auf Suchseiten erscheinen und Platzhalter enthalten.
- Protokolle prüfen: Sehen Sie die Server-Protokolle seit Ende September auf Suchanfragen mit Shortcodes durch.
- Kundenwebsites: Agenturen aktualisieren am besten alle betreuten Installationen in einem Durchgang.
Gibt es Hinweise auf einen Einbruch, bei dem personenbezogene Daten abfließen konnten, gilt die 72-Stunden-Frist nach Art. 33 DSGVO. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, der WordPress-Hosting-Vergleich nennt Hoster, die Plugin-Updates selbst einspielen.
FAQ: Ad Inserter mit über 300.000 Installationen: Shortcodes ließen sich über die Suche ausführen
Welche Version von Ad Inserter ist sicher?
Version 2.8.20 vom 28. Oktober 2026 schließt die Shortcode-Lücke, die Wordfence am 30. Oktober offengelegt hat, und vier weitere Fehler. Alle Versionen bis einschließlich 2.8.19 sind anfällig.
Ist jede Website mit Ad Inserter betroffen?
Nein. Angreifbar sind Websites, die einen Werbeblock mit Platzhaltern wie Titel, Kategorie oder Schlagwort auch auf Suchseiten anzeigen. Ab Werk ist die Anzeige auf Suchseiten ausgeschaltet. Das Update ist trotzdem ratsam, weil 2.8.20 weitere Lücken schließt.
Wird die Lücke schon ausgenutzt?
Bis zum 2. November 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen.
Was kann ein Angreifer mit einem Shortcode anrichten?
Das hängt von den übrigen Plugins ab. Shortcodes rufen Funktionen auf, die sonst nur Redakteure in Seiten einbauen, etwa Formulare oder Beitragslisten. Je mehr Plugins eigene Shortcodes mitbringen, desto größer ist der Spielraum.
Quellen
5 Quellen anzeigenQuellen ausblenden
- WordfenceAd Inserter <= 2.8.19, CVE-2026-102905, offengelegt am 30. Oktober 2026; dazu CVE-Eintrag CVE-2026-102905 und NVD: CVE-2026-102905
- wordpress.orgAd Inserter, Änderungsprotokoll, aktive Installationen, Versions- und Downloadstatistik, abgerufen am 2. November 2026; Quellcode der Versionen 2.8.19 und 2.8.20 aus dem Plugin-Verzeichnis
- CVE-Einträge von PatchstackCVE-2026-105077 (Ad Inserter <= 2.8.19), 30. Oktober 2026, sowie frühere Einträge zu Ad Inserter seit
- WPScan: CVE-Eintrag CVE-2026-81655 (Ad Inserter 2.8.12 bis 2.8.18)
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 2. November 2026
Mehr Newshunger?
- Ninja Forms mit über 500.000 Installationen: Vier neue Sicherheitslücken, drei davon ohne Anmeldung
- Forminator mit über 600.000 Installationen: Shortcode-Lücke ohne Login
- Ocean Extra mit über 500.000 Installationen: zweite Shortcode-Lücke ohne Login
- Popup Builder mit über 200.000 Installationen: Sicherheitslücke schickt alle Popups in den Papierkorb
