Backuply mit über 600.000 Installationen: Eine Wiederherstellung kann Abonnenten zu Admins machen

Ein gewöhnliches Zurückspielen einer Datensicherung konnte auf WordPress-Sites mit dem Plugin Backuply einem Angreifer die volle Kontrolle verschaffen. Dafür genügte ihm ein Konto mit Abonnentenrechten. Version 1.5.9 vom 1. Oktober schließt die Lücke, Wordfence hat sie am 15. Oktober öffentlich gemacht. Das Plugin von Softaculous läuft laut wordpress.org auf mehr als 600.000 Websites.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Gemeldet hat die Lücke ein Sicherheitsforscher unter dem Pseudonym daroo über das Bug-Bounty-Programm von Wordfence. Sie trägt die Kennung CVE-2026-93953, Wordfence stuft ihren Schweregrad als hoch ein.^[1]

Das Wichtigste in Kürze

• CVE-2026-93953 betrifft Backuply bis 1.5.8, behoben ist sie in 1.5.9 (CVSS 3.1: 8,0, vergeben von Wordfence).
• Angreifer brauchen ein Abonnentenkonto, den Schaden löst erst eine Wiederherstellung durch einen Administrator aus.
• Am Ende stehen eine offene Registrierung und neue Konten mit Administratorrechten.
• Angriffe sind nicht bekannt, Nutzer der kostenlosen Wordfence-Version erhalten die passende Firewall-Regel erst am 24. Oktober.

Wie wird aus einer Sicherung ein Angriff?

Backuply schreibt beim Sichern jede Datenbankzeile als SQL-Befehl in eine Datei und führt diese Befehle beim Wiederherstellen nacheinander aus. Ein Angreifer mit Abonnentenkonto hinterlegt in seinem Profil einen präparierten Text. WordPress speichert ihn als gewöhnliche Zeichenkette, Backuply sichert ihn korrekt.^[1]

Gefährlich wird der Eintrag erst beim Zurückspielen. Dort sucht das Plugin mit einem zu weit gefassten Suchmuster nach dem alten Tabellenpräfix und übernimmt den Treffer ungeprüft in eine weitere Datenbankabfrage. Laut Wordfence öffnet der Angreifer darüber die Registrierung für alle und setzt die Standardrolle neuer Konten auf Administrator. Anschließend legt er sich über das normale Formular ein Konto an und übernimmt die Website.^[1] Fachleute sprechen von einer Second-Order-SQL-Injection: Der Angreifer speichert die Eingabe, wirksam wird sie erst in einem späteren Arbeitsschritt. Ein Patch liegt vor, ausgenutzt wird die Lücke nach bisherigem Stand nicht.

Warum wird ausgerechnet die Sicherung zum Risiko?

Eine Sicherung gilt als vertrauenswürdig, denn sie stammt von der eigenen Website. Darauf baut der Angriff. Was Besucher in ihr Profil schreiben, landet in der Sicherung. Beim Wiederherstellen führte Backuply den eingeschleusten Teil mit vollen Datenbankrechten aus. Das Wiederherstellen gehört bei einem Backup-Plugin zum Alltag, etwa nach einem Fehler oder beim Umzug. Vier der fünf früheren Backuply-Lücken in der Wordfence-Datenbank setzten noch ein Administratorkonto voraus.^[2]

Registrierung und Profilfelder dienten zuletzt auch bei Kirki und Ultimate Member als Einfallstor. Ein anderes Backup-Plugin, Backup Migration, hatte im Dezember 2023 eine schwerere Lücke: Dort ließ sich ohne Anmeldung Code auf dem Server ausführen (CVE-2023-6553, CVSS 9,8).^[3]

Was sollten Betreiber jetzt tun?

• Aktualisieren: Bringen Sie Backuply auf Version 1.5.9 oder neuer und prüfen Sie, ob automatische Plugin-Updates eingeschaltet sind. Laut wordpress.org liefen am 16. Oktober noch rund 17 Prozent der Installationen auf dem älteren Versionszweig 1.4.^[4]
• Erst updaten, dann zurückspielen: Laut Changelog betrifft die Korrektur den Wiederherstellungsprozess. Spielen Sie ältere Sicherungen deshalb erst nach dem Update zurück.^[4]
• Nach einer Wiederherstellung kontrollieren: Haben Sie vor dem Update eine Sicherung zurückgespielt, prüfen Sie unter Einstellungen › Allgemein die Mitgliedschaft und die Standardrolle neuer Benutzer. Suchen Sie außerdem nach unbekannten Administratorkonten.
• Melden: Finden Sie fremde Administratoren, prüfen Sie die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden Zeit lässt.^[5]

Agenturen mit vielen Kundensites aktualisieren zuerst Installationen mit offener Registrierung, etwa Shops, Foren und Mitgliederbereiche. Alternativen zeigt der Vergleich der Backup-Plugins für WordPress, Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich sichern Websites oft zusätzlich auf Serverebene.

FAQ: Backuply mit über 600.000 Installationen: Eine Wiederherstellung kann Abonnenten zu Admins machen

Quellen

Mehr Newshunger?

• Complianz mit über 1 Million Installationen: zweite Lücke im Cookie-Blocker binnen eines Monats
• WPCode mit über 3 Millionen Installationen: Fremde konnten Code-Snippets umgehen
• 10Web Booster: kritische Upload-Lücke ohne Login bei über 60.000 WordPress-Sites
• Rank Math mit über 4 Millionen Installationen: vier Lücken, eine davon ohne Login
• LatePoint mit über 100.000 Installationen: neue SQL-Lücke ohne Login
• Blocksy Companion: Kritische Lücke macht Fremde zu Dokan-Händlern