Ein gefälschter Seitentitel in Google Analytics genügte, um Skriptcode in das WordPress-Dashboard des Plugins Analytics Insights zu schleusen. Ausgeführt wurde der Code, sobald ein Administrator den Echtzeitbericht öffnete. Version 6.4 schließt die Sicherheitslücke, laut wordpress.org lief am 27. Oktober aber noch mindestens die Hälfte der mehr als 10.000 Installationen mit einer älteren Version.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenStellen Sie sich vor, Ihre Besucherstatistik meldet einen Leser auf einer Seite, die auf Ihrer Website gar nicht existiert. In Analytics Insights bis Version 6.3.12 konnte ein solcher Eintrag Schadcode enthalten. Wordfence führt die Sicherheitslücke als CVE-2026-111820 und hat sie am 26. Oktober veröffentlicht, gefunden hat sie ein Sicherheitsforscher mit dem Kürzel hei.[1]
Das Wichtigste in Kürze
- Analytics Insights bis 6.3.12 gibt Seitentitel aus Google Analytics ungefiltert im Dashboard aus (CVSS 3.1: 7,2, vergeben von Wordfence).
- Ein Angreifer braucht kein Konto, der Code läuft im Browser eines Administrators.
- Version 6.4 vom 19. Oktober behebt die Sicherheitslücke.
- Angriffe sind bis zum 27. Oktober nicht bekannt.
Wie gelangt der Code aus Google Analytics ins Dashboard?
Analytics Insights des Entwicklers Alin Marcu holt Berichte aus Google Analytics 4 und zeigt sie im WordPress-Backend an. Der Echtzeitbericht listet dort die gerade aufgerufenen Seiten samt Titel, dazu Verweisquellen, Suchbegriffe und Kampagnennamen. Bis Version 6.3.12 setzte das Plugin diese Angaben unverändert in den HTML-Code der Tabelle ein. Erst Version 6.4 wandelt Sonderzeichen vorher in reinen Text um, wie der Quellcode der beiden Versionen zeigt.[2]
Die Angaben selbst stammen aber nicht von der Website, sondern von Google. Die Mess-ID einer Google-Analytics-Property steht im Quelltext jeder gemessenen Seite. Mit dieser Kennung lassen sich Messdaten an Google schicken, ohne die Website je aufzurufen. Analytics-Nutzer kennen solche gefälschten Zugriffe seit Jahren als Spam in ihren Statistiken. Laut Wordfence lässt sich die Lücke ohne Anmeldung ausnutzen.[1] In der Grundeinstellung sehen nur Administratoren die Berichte des Plugins. Der eingeschleuste Code läuft damit im Browser des Nutzers mit den meisten Rechten.
Warum fallen solche Sicherheitslücken so spät auf?
Das Muster kehrt in WordPress-Plugins regelmäßig wieder: Entwickler prüfen Eingaben aus Formularen, halten aber Daten aus einer vermeintlich sicheren Quelle wie einer Google-Schnittstelle für sauber. Beim Spam-Schutz CleanTalk steckte der Code im Oktober in einer präparierten E-Mail-Adresse und wurde erst ausgeführt, als ein Administrator die Spam-Prüfung öffnete. Beim Tracking-Plugin PixelYourSite reichte ein präparierter Cookie, den der Seiten-Cache danach an alle Besucher verteilte.
Schon im Januar 2024 schloss Version 6.3 eine Lücke, über die sich Besucher auf fremde Seiten umleiten ließen (CVE-2024-0250).[1] Laut wordpress.org liefen am 27. Oktober 44,9 Prozent der Installationen mit Version 6.4 und 50 Prozent noch mit der anfälligen Versionsreihe 6.3.[2]
Welche Versionen laufen noch?
Anteil an allen aktiven Installationen laut Versionsstatistik von wordpress.org. Auch ältere Versionen vor 6.3 sind anfällig.
Ein Plugin, das Google-Daten ungeprüft ins Backend schreibt, macht jeden Fremden mit der Mess-ID zum Gastautor im Admin-Konto.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Bringen Sie Analytics Insights auf Version 6.4 und prüfen Sie unter Plugins, ob automatische Updates für das Plugin aktiv sind.
- Übergangsweise abschalten: Lässt sich das Update nicht sofort einspielen, deaktivieren Sie das Plugin. Bindet das Plugin auch den Tracking-Code ein, fehlen bis zum Update die Messdaten.
- Konten prüfen: Suchen Sie nach unbekannten Administratoren, neu installierten Plugins und geänderten Dateien.
- Datenschutz klären: Deutet etwas auf einen erfolgreichen Angriff hin, müssen Betreiber die Datenpanne meist binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33 DSGVO).[3]
Die US-Behörde CISA führt CVE-2026-111820 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen.[4] Agenturen sollten zuerst die Kundenwebsites aktualisieren, auf denen mehrere Personen Administratorrechte haben. Die Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich zeigt Managed-Hoster, die Plugin-Updates selbst einspielen, der Vergleich der Analyse-Tools Alternativen zur Statistik im Dashboard.
FAQ: Analytics Insights mit über 10.000 Installationen: schwere Sicherheitslücke über Google Analytics
Was ist Analytics Insights?
Analytics Insights ist ein WordPress-Plugin von Alin Marcu, das Berichte aus Google Analytics 4 im WordPress-Backend anzeigt und den Tracking-Code einbinden kann. Laut wordpress.org läuft das Plugin auf mehr als 10.000 Websites.
Welche Version von Analytics Insights ist sicher?
Version 6.4 vom 19. Oktober 2026 schließt die Sicherheitslücke CVE-2026-111820. Betroffen sind alle Versionen bis einschließlich 6.3.12. Das Update kommt über das Plugin-Verzeichnis von wordpress.org.
Wird die Sicherheitslücke in Analytics Insights schon ausgenutzt?
Bis zum 27. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-111820 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Seit Wordfence die Lücke am 26. Oktober beschrieben hat, kennen aber auch Angreifer die Details.
Hilft der Verzicht auf den Echtzeitbericht?
Der Verzicht hilft nur bedingt. Der Code läuft erst, wenn ein Administrator den Bericht aufruft, gefälschte Einträge bleiben aber bis zum Update gefährlich. Sicher ist nur Version 6.4 oder das Deaktivieren des Plugins.
Sind auch andere Google-Analytics-Plugins betroffen?
CVE-2026-111820 betrifft nur Analytics Insights. Jedes Plugin, das Daten aus Google Analytics im Backend anzeigt, muss diese Angaben aber als nicht vertrauenswürdige Eingaben behandeln. Aktuelle Versionen und automatische Updates senken das Risiko auch bei anderen Erweiterungen.
Quellen
4 Quellen anzeigenQuellen ausblenden
- WordfenceAnalytics Insights <= 6.3.12 – Unauthenticated Stored Cross-Site Scripting via GA4 Realtime Page Title, veröffentlicht am 26. Oktober 2026, aktualisiert am 27. Oktober 2026; dazu NVD: CVE-2026-111820
- wordpress.orgAnalytics Insights, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 27. Oktober 2026; Quellcode der Versionen 6.3.12 und 6.4 aus dem Plugin-Verzeichnis
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 27. Oktober 2026
Mehr Newshunger?
- Bridge-Theme: Kritische Sicherheitslücke im Mitglieder-Plugin macht Fremde zu Administratoren
- Kirki mit über 500.000 Installationen: Schwere Sicherheitslücke macht Abonnenten zu Administratoren
- GeoDirectory mit über 10.000 Installationen: Abonnenten konnten Dateien vom Server löschen
- Download Monitor mit über 80.000 Installationen: schwere Sicherheitslücke über präparierte Links
- WebP Express mit über 300.000 Installationen: schwere Sicherheitslücke beim HTML-Umbau
- Redirection for Contact Form 7 mit über 200.000 Installationen: Fremde konnten Skripte einschleusen
