Fremde konnten bei All In One Login ohne Anmeldung jedes Konto übernehmen, auch das eines Administrators. Den Weg öffnete der E-Mail-Code für die Anmeldung ohne Passwort: Das Plugin sperrte ihn nicht wirksam gegen wiederholtes Raten. WPScan bewertet die Sicherheitslücke mit 9,8 von 10 Punkten, Version 2.5.0 schließt sie.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
WPScan hat am 2. November eine Sicherheitslücke im WordPress-Plugin All In One Login veröffentlicht, betroffen sind die Versionen 2.4.0 und 2.4.1.[1] Laut wordpress.org läuft das Plugin des Entwicklers Saad Iqbal auf mehr als 60.000 aktiven Installationen.[3] Für CVE-2026-19256 vergibt WPScan 9,8 von 10 Punkten (CVSS 3.1, Stufe kritisch), die Datenbank NVD führt seit dem 5. November denselben Wert.[1][2]
Das Wichtigste in Kürze
- Der E-Mail-Code für die Anmeldung ohne Passwort ließ sich in den Versionen 2.4.0 und 2.4.1 laut WPScan durchprobieren, ein Konto braucht der Angreifer dafür nicht.
- Gelingt das, übernimmt der Angreifer das Konto, auch das eines Administrators.
- Behoben ist die Sicherheitslücke in Version 2.5.0 vom 26. Oktober, aktuell ist 2.5.1 vom 30. Oktober.
- Angriffe nennt der Eintrag nicht, den Exploit-Code will WPScan erst am 2. Dezember zeigen.
Wie kommt ein Fremder mit einem Zahlencode ins Konto?
All In One Login ändert die Adresse der Anmeldeseite, schützt sie mit reCAPTCHA und führt ein Anmeldeprotokoll. Version 2.4.0 vom 23. Juni brachte die Anmeldung ohne Passwort dazu: Das Plugin schickt dem Nutzer einen Code per E-Mail. Mit dem Code ist er angemeldet.[3]
Laut WPScan begrenzte das Plugin nicht ausreichend, wie oft sich ein solcher kurzer Zahlencode eingeben lässt. Fehlversuche flossen nicht in die eigene Schutzfunktion gegen Brute-Force-Angriffe ein, also gegen systematisches Durchprobieren.[1] Die Länge des Codes nennt der Eintrag nicht. Zur Einordnung: Sechs Ziffern ergeben eine Million Kombinationen, vier Ziffern nur 10.000. Für ein Skript ist das ohne wirksame Sperre keine Hürde. Die US-Behörde CISA stuft die Ausnutzung in der NVD als automatisierbar und den technischen Schaden als vollständig ein.[2]
Betroffen sind laut WPScan nur die Versionen 2.4.0 und 2.4.1, denn die Code-Anmeldung kam laut Änderungsprotokoll erst mit 2.4.0 dazu.[1][3] Laut NVD-Beschreibung war die Funktion standardmäßig eingeschaltet. Das Protokoll von 2.4.1 vermerkt als Korrektur, dass der E-Mail-Code zuvor ab Werk aktiv war.[2][3] Am 6. November liefen 22,8 Prozent der Installationen auf der Reihe 2.4, rechnerisch mehr als 13.000 von mehr als 60.000. Weitere 32,5 Prozent nutzten 2.5 mit der Korrektur, 42,4 Prozent die Reihen 1.0 bis 2.1 ohne Code-Anmeldung. Wie viele der 2.4er den E-Mail-Code eingeschaltet haben, zeigt die Statistik nicht.[3]
Warum zählt bei Einmalcodes jeder Fehlversuch?
Ein Passwort ist durch seine Länge sicher, ein Einmalcode durch die Sperre nach Fehlversuchen. Der Code muss kurz sein, damit Nutzer ihn abtippen können. Fällt die Sperre aus, bleibt von der Anmeldung ein Ratespiel mit kleinem Zahlenraum übrig.
Binnen sieben Tagen ist das die dritte Sicherheitslücke dieser Art. Bei SureCart ließ sich der sechsstellige Anmeldecode eines beliebigen Kontos durchprobieren, bei Security Optimizer von SiteGround der Code für den zweiten Faktor. Dazu kommt bei All In One Login ein zweiter Anlauf: Das Änderungsprotokoll nennt die Korrektur gegen Kontoübernahme per E-Mail-Code zweimal, in 2.4.1 vom 18. August und in 2.5.0 vom 26. Oktober. WPScan führt 2.4.1 trotzdem als betroffen, behoben ist die Sicherheitslücke laut WPScan erst in 2.5.0.[1][3]
Der Stand: Patch verfügbar, Exploit-Code nicht öffentlich, Angriffe unbekannt. Gefunden hat die Sicherheitslücke der Forscher Jakub Herman. WPScan zeigt den Exploit-Code erst am 2. Dezember, damit Betreiber Zeit zum Aktualisieren haben. In CISAs Katalog ausgenutzter Schwachstellen steht der Eintrag nicht, in der NVD-Ergänzung der Behörde vom 6. November gilt die Ausnutzung als nicht beobachtet.[1][2]
Vom E-Mail-Code bis zum Exploit-Termin
Auf welchen Versionsreihen die Installationen liefen
Orange: Reihe 2.4 mit den betroffenen Versionen 2.4.0 und 2.4.1. Die Statistik von wordpress.org zeigt Anteile je Versionsreihe, nicht je Einzelversion.
Ein Einmalcode ersetzt das Passwort nur, wenn jemand die Fehlversuche zählt. Bei All In One Login zählte die eigene Sperre sie nicht mit.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie All In One Login 2.5.1 ein und schalten Sie automatische Updates für das Plugin ein.
- Anmeldeweg prüfen: Schalten Sie die Anmeldung per E-Mail-Code ab, wenn Sie sie nicht brauchen. Stattdessen genügt ein starkes Passwort mit Zwei-Faktor-Anmeldung per Authenticator-App.
- Protokolle sichten: Betroffen sind Versionen seit dem 23. Juni. Suchen Sie im Anmeldeprotokoll des Plugins und im Server-Log nach auffällig vielen Fehlversuchen und nach erfolgreichen Anmeldungen zu ungewöhnlichen Zeiten.
- Konten kontrollieren: Prüfen Sie die Liste der Benutzer auf unbekannte Administratoren und kürzlich geänderte Plugin- und Theme-Dateien. Setzen Sie Administratorpasswörter zurück und beenden Sie alle Sitzungen.
- Übergangsweise bremsen: Wenn sich das Update nicht sofort einspielen lässt, deaktivieren Sie das Plugin oder begrenzen Anfragen an die Anmeldeseite über Firewall oder Hoster.
Agenturen mit vielen Websites ihrer Kunden filtern ihre Update-Werkzeuge nach dem Plugin und den Versionen 2.4.0 und 2.4.1. Bei Shops, Mitgliederbereichen und Formularen mit personenbezogenen Daten prüfen Betreiber nach einer möglichen Kontoübernahme die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden nach Bekanntwerden gilt. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Im WordPress-Hosting-Vergleich finden Betreiber passende Anbieter, die den Betrieb übernehmen.
FAQ: Kritische Sicherheitslücke bei All In One Login
Welche Version von All In One Login ist sicher?
Laut WPScan sind die Versionen 2.4.0 und 2.4.1 betroffen, behoben ist die Sicherheitslücke in 2.5.0. Aktuell ist Version 2.5.1 vom 30. Oktober 2026. Prüfen Sie im Plugin-Bereich Ihres WordPress, welche Version läuft.
Braucht ein Angreifer ein Konto auf der Website?
Nein. Laut Eintrag kann ein Angreifer ohne Anmeldung den E-Mail-Code für die Anmeldung durchprobieren und damit jedes Konto übernehmen, auch das eines Administrators.
Sind ältere Versionen vor 2.4.0 auch betroffen?
Laut WPScan nicht. Die Anmeldung per E-Mail-Code kam laut Änderungsprotokoll erst mit Version 2.4.0 vom 23. Juni 2026 dazu. Ältere Reihen von 1.0 bis 2.1 kennen sie nicht.
Wird die Sicherheitslücke schon ausgenutzt?
Der Eintrag nennt bis zum 6. November 2026 keine Angriffe. CISA führt die Sicherheitslücke nicht in ihrem Katalog ausgenutzter Schwachstellen. WPScan will den Exploit-Code am 2. Dezember 2026 zeigen.
Quellen
3 Quellen anzeigenQuellen ausblenden
- WPScanAll In One Login 2.4.0 – 2.4.1 – Unauthenticated Account Takeover via Email OTP Brute Force, öffentlich seit
- NVDCVE-2026-19256, veröffentlicht am 5. November 2026, mit CISA-Ergänzung vom 6. November; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 6. November 2026
- wordpress.orgAll In One Login, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 6. November 2026
Mehr Newshunger?
- SureCart mit über 80.000 Installationen: Schwere Sicherheitslücke gibt Fremden Zugriff aufs Administratorkonto
- Security Optimizer mit über 1 Million Installationen: Zwei-Faktor-Codes ließen sich beliebig oft raten
- Bridge-Theme: Kritische Sicherheitslücke im Mitglieder-Plugin macht Fremde zu Administratoren
- Kirki mit über 500.000 Installationen: Schwere Sicherheitslücke macht Abonnenten zu Administratoren
- Gravity Forms: Kritische Sicherheitslücke trifft Formulare, die Beiträge anlegen
