Das WordPress-Theme Avada läuft auf über einer Million Websites. Dort klafft nun eine kritische Lücke mit dem Höchstwert 9.8 von 10. Sechs einzeln harmlose Schwächen ergeben zusammen einen Weg zu beliebigem PHP-Code auf dem Server, ganz ohne Log-in. Aufgespürt hat die Kette der KI-Agent Argus von Wordfence in rund zwei Stunden.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Betroffen ist jede Avada-Version bis 7.16 samt dem mitgelieferten Fusion Builder bis 3.16. Ein Angreifer braucht dafür weder Zugangsdaten noch einen Klick des Opfers, nur die sechs Schritte in der richtigen Folge.
Das Wichtigste in Kürze
- Die Lücke CVE-2026-18431 trifft Avada bis 7.16 samt Fusion Builder bis 3.16, CVSS-Wert 9.8 (kritisch).
- Ein anonymer Angreifer schreibt eigene Dateien auf den Server, führt PHP-Code aus und übernimmt die komplette Website.
- ThemeFusion hat am 25. August 2026 mit Avada 7.16.1 und Fusion Builder 3.16.1 gepatcht. Beide gehören zusammen aktualisiert.
- Entdeckt hat die Kette der KI-Agent Argus von Wordfence, ohne menschliches Zutun.
Wie wird aus sechs kleinen Fehlern eine Totalübernahme?
Keiner der sechs Fehler reicht für sich. Erst in fester Reihenfolge führt die Kombination von einer anonymen Anfrage bis zum Schreiben beliebiger Dateien auf dem Server. Ein platziertes PHP-Skript bedeutet dann volle Kontrolle über die Website.
Der Angriff startet mit einer öffentlich erreichbaren Anfrage, die Angreiferdaten ins System einschleust. Am Ende der Kette erreicht diese Eingabe eine interne Wartungsfunktion, die Dateien schreibt, ohne die Herkunft ausreichend zu prüfen. Fehlende Autorisierung an dieser Stelle macht aus einer harmlosen Funktion ein Einfallstor.
Der eigentliche Trick liegt in der Verkettung. Jeder Schritt sieht für sich unverdächtig aus, weshalb signaturbasierte Scanner und einzelne Firewall-Regeln die Gefahr übersehen.[1] Sechs Glieder ergeben erst zusammen den Weg. Eine Vorbedingung bleibt: Die Seite braucht bestimmten, von Administratoren angelegten Inhalt.
Warum findet eine KI in Stunden, was Menschen Wochen kostet?
Argus geht in die Tiefe statt in die Breite. Der Agent bleibt an einem Ziel und hält einen langen, mehrstufigen Angriffspfad im Blick, den ein Mensch erst nach Wochen zusammensetzt. Unbeaufsichtigt gelang das in rund zwei Stunden.
Argus ist kein Einzelfall, sondern Teil eines Musters. Der breit suchende Schwesteragent PRISM hat bereits über 300 Lücken gemeldet. Dr. Web hat diese Industrialisierung der Schwachstellensuche schon dokumentiert, als eine KI-Pipeline 300 Zero-Days in 72 Stunden aus Plugins zog und bei der Burst-Statistics-Lücke die Frage aufkam, ob KI bald jede Plugin-Lücke findet.
Die Kehrseite benennt Wordfence selbst: Dieselben Techniken nützen Angreifern genauso wie Verteidigern. Zwischen einem Patch und dem ersten automatisierten Massenangriff vergehen oft nur Stunden, nicht Wochen, wie zuletzt die Kirki-Lücke mit 150.000 Sites und ein Plugin, das ganze WordPress-Sites verschenkte, zeigten.
Nicht die einzelne Lücke ist die eigentliche Nachricht, sondern das Tempo. Eine Maschine, die den ganzen Angriffsweg an einem Nachmittag baut, macht schnelles Patchen vom guten Vorsatz zur Überlebensfrage.
— Michael Dobler, Herausgeber Dr. Web
Die Angriffskette Schritt für Schritt
Was Betreiber jetzt konkret tun sollten
Der wichtigste Schritt ist das sofortige Update auf Avada 7.16.1 und Fusion Builder 3.16.1. Beide schließen alle sechs Glieder der Kette. Weil Avada den Fusion Builder zwingend mitbringt, gehören beide zusammen aktualisiert.
Für Unternehmen unter NIS2 gehört eine bekannte kritische Lücke auf einer öffentlichen Website zu den Risiken, die ein Patch-Management zeitnah schließen muss. DSGVO-Relevanz kommt hinzu, sobald der Server Kundendaten aus WooCommerce oder einem Kontaktformular hält: Eine Serverübernahme ist dann ein meldepflichtiger Datenschutzvorfall.
Ohne sofortiges Update hilft übergangsweise eine vorgeschaltete Web Application Firewall. Ein gutes Managed-WordPress-Hosting spielt kritische Updates teils automatisch ein. Die Firewall ersetzt den Patch aber nicht, sondern kauft nur Zeit.
Genau die enorme Verbreitung von Avada macht die Lücke zum lohnenden Ziel. Prüfen Sie noch heute die installierte Version und spielen Sie 7.16.1 samt Fusion Builder 3.16.1 ein, bevor die ersten Scanner die Kette abklopfen.
Quelle
[1] Wordfence: „Wordfence Argus Finds Complex 6 Step Critical RCE in Avada Theme with 1 Million Sales“ ↩
Mehr Newshunger?
- KI findet 300 WordPress-Lücken: Was tun?
- Burst-Statistics-Lücke: Findet KI jetzt jede Plugin-Lücke?
- Kirki-Sicherheitslücke bedroht 150.000 WordPress-Sites
- Sicherheitslücke: WordPress sofort auf 7.0.2 aktualisieren
- WordPress-Plugin-Backdoor: 400.000 Sites über Flippa-Kauf infiziert
- Username genügt: WordPress-Plugin öffnet die Admin-Tür ohne Passwort
