Schwere Sicherheitslücke bei Advanced Custom Fields

Bei Advanced Custom Fields, installiert auf mehr als 2 Millionen WordPress-Websites, konnte ein Fremder ohne Konto Code in eine gespeicherte Feldeinstellung schreiben. Die Seite lieferte ihn danach an jeden Besucher und jeden Administrator aus, der sie aufrief. Version 6.8.11 vom 2. November schließt die Sicherheitslücke, eine CVE-ID nennt das Änderungsprotokoll nicht.

WPScan führt seit dem 4. November eine Sicherheitslücke im WordPress-Plugin Advanced Custom Fields (ACF) auf, betroffen sind alle Versionen vor 6.8.11. Laut wordpress.org läuft das Plugin auf mehr als 2 Millionen aktiven Installationen. WPScan nennt für CVE-2026-110813 7,5 von 10 Punkten, Stufe hoch, die Datenbank NVD hat noch keine eigene Wertung vergeben.^[1][2]

Wie gelangt Code in eine Feldeinstellung?

Advanced Custom Fields legt Zusatzfelder für Beiträge, Seiten und eigene Beitragstypen an und speichert die Einstellungen jedes Felds in der Datenbank. Laut CVE-Eintrag ließ sich eine solche Einstellung über die Kommentarverarbeitung verändern, ohne Anmeldung. Das Plugin bereinigte die Eingabe nicht, sie landete als Name eines HTML-Attributs im Quelltext der Seite.^[1]

Der Browser führt den Inhalt dann als Skript aus, sobald jemand die Seite aufruft. Betroffen ist laut Eintrag jeder Besucher und jeder Administrator, dessen Browser eine Seite mit dem manipulierten Feld lädt.^[1] Das Änderungsprotokoll von Version 6.8.11 nennt Checkbox-, Radio- und Auswahlfelder mit eingeschalteter Option „Save Custom Values“: Dort eingereichte Werte konnten die Einstellungen des Felds beschädigen und dem umschließenden Element Attribute hinzufügen. Die Zuordnung ergibt sich aus der Beschreibung, eine CVE-ID steht nicht im Protokoll.^[2]

Wie viele Websites betroffen sind, hängt davon ab, welche Felder Besucher erreichen können. Der Eintrag nennt keine weitere Voraussetzung. Laut Versionsstatistik von wordpress.org liefen am 6. November 57,2 Prozent der Installationen auf der Versionsreihe 6.8, zu der das gepatchte 6.8.11 und alle betroffenen Vorgänger gehören. Weitere rund 12 Prozent nutzten die älteren Reihen 6.3 und 6.7, bei 31 Prozent weist die Statistik keine Reihe aus. Wie viele davon schon 6.8.11 einsetzen, zeigt sie nicht.^[2]

Warum rutschen solche Eingaben durch die Ausgabeprüfung?

WordPress-Entwickler maskieren Werte beim Ausgeben, damit Sonderzeichen keinen Code bilden. Der Name eines Attributs ist dagegen kein Wert, dort greift diese Maskierung nicht. Deshalb gibt ACF 6.8.11 für kein Feld mehr Attribute aus, die Ereignisse auslösen können. Zudem begrenzt es die Einstellungen des umschließenden Elements bei Nutzern ohne die Berechtigung unfiltered_html auf Breite, Klasse und ID.^[2]

Das Protokoll von 6.8.11 liest sich wie eine Generalinspektion. Felder passwortgeschützter Beiträge erscheinen nicht mehr ohne Passwort. Der Kurzcode gibt bei Benutzerfeldern nur noch IDs statt Namen und E-Mail-Adressen aus. Beim Speichern verwirft ACF Werte, die nicht zum ausgegebenen Feld passen. Schon 6.8.10 vom 10. September prüfte hochgeladene PDF-Dateien und erzwang Leserechte in der REST-Schnittstelle.^[2] Zwei Versionen in acht Wochen mit langen Listen an Sicherheitskorrekturen deuten auf eine Durchsicht des ganzen Plugins hin.

Das Muster, dass Besuchereingaben zu weit in Einstellungen oder Beiträge vordringen, zeigte zuletzt die Sicherheitslücke bei Gravity Forms in Formularen, die Beiträge anlegen. Der CVE-Eintrag nennt keinen Entdecker. Das Änderungsprotokoll dankt Jakub Herman, der über WPScan meldete, beim Punkt zu Auswahlfeldern. Hersteller des Plugins ist WP Engine.^[1][2]

Was sollten Betreiber jetzt tun?

• Aktualisieren: Spielen Sie ACF 6.8.11 ein und schalten Sie automatische Updates für das Plugin ein.
• Felder prüfen: Suchen Sie in den Feldgruppen nach Checkbox-, Radio- und Auswahlfeldern mit der Option „Save Custom Values“ und schalten Sie sie dort ab, wo Besucher Eingaben absenden können.
• Gespeichertes kontrollieren: Ob 6.8.11 bereits manipulierte Einstellungen bereinigt, sagt das Protokoll nicht. Prüfen Sie die Feldgruppen auf unbekannte Auswahlwerte und den Seitenquelltext auf unerwartete Attribute an Feldern.
• Konten prüfen: Suchen Sie nach unbekannten Administratorkonten und kürzlich geänderten Plugin- und Theme-Dateien. Administratoren, die betroffene Seiten geöffnet haben, setzen ihr Passwort zurück.

Agenturen mit vielen Kundenseiten filtern ihre Update-Werkzeuge nach ACF vor 6.8.11, weil das Plugin häufig mit Formularen und Mitgliederbereichen zusammenläuft. Wurden Administratorkonten übernommen und personenbezogene Daten abgegriffen, prüfen Betreiber die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden nach Bekanntwerden gilt. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Im WordPress-Hosting-Vergleich finden Betreiber passende Anbieter, die den Betrieb übernehmen.

FAQ: Schwere Sicherheitslücke bei Advanced Custom Fields

Quellen

Mehr Newshunger?

• Gravity Forms: Kritische Sicherheitslücke trifft Formulare, die Beiträge anlegen
• Schwere Sicherheitslücke bei LiteSpeed Cache im Warenkorb
• WP Fastest Cache mit über 1 Million Installationen: Cache legte Zugangsdaten neuer Nutzer offen
• Elementor mit über 10 Millionen Installationen: Präparierte SVG-Grafiken schleusen Skripte ein
• SureCart mit über 80.000 Installationen: Schwere Sicherheitslücke gibt Fremden Zugriff aufs Administratorkonto