Eine kritische Sicherheitslücke im WordPress-Plugin Burst Statistics wird seit dem 12. Mai 2026 aktiv ausgenutzt. Die Schwachstelle mit der Kennung CVE-2026-8181 erhält einen CVSS-Score von 9,8 und ermöglicht unauthentifizierten Angreifern, beliebige Admin-Konten zu übernehmen oder eigene anzulegen.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Hand aufs Herz: Burst Statistics gilt als datenschutzfreundliche Google-Analytics-Alternative und läuft auf rund 200.000 WordPress-Sites. Wer das Plugin als „leichtgewichtig“ eingestuft und damit auf eine reduzierte Risiko-Prüfung verzichtet hat, sollte heute Abend die Backend-Logs öffnen.
Das Wichtigste in Kürze
- CVE-2026-8181 mit CVSS 9,8 trifft die Versionen 3.4.0 und 3.4.1.1 des Burst-Statistics-Plugins
- Wordfence hat in den 24 Stunden nach Veröffentlichung über 7.400 Angriffe geblockt
- Der Patch 3.4.2 ist seit 12. Mai 2026 verfügbar, rund 115.000 Sites laufen aber laut wordpress.org-Statistik noch ungepatcht
- Wer keinen Patch einspielen kann, sollte das Plugin temporär deaktivieren
Warum diese Lücke besonders kritisch ist
Der Mechanismus sitzt tief im REST-API-Layer. Die Funktion is_mainwp_authenticated im Plugin validiert eingehende Requests an die MainWP-Integration unvollständig. Angreifer können bestehende Admin-Konten imitieren oder neue Admin-Konten anlegen, ohne sich authentifizieren zu müssen. Aufgrund der REST-API-Anbindung greift der Exploit über alle Endpoints des Plugins.
Die Reichweite ist erheblich. Burst Statistics zählt rund 200.000 aktive Installationen, viele davon auf KMU-Sites, die das Plugin gerade wegen der Datenschutz-Argumente gewählt haben. Nach dem Patch-Release am 12. Mai sind rund 85.000 Downloads erfolgt, womit laut wordpress.org-Schätzung noch rund 115.000 Sites verwundbar bleiben.
Die Geschwindigkeit des Disclose-to-Fix-Zyklus ist neu. Wordfences AI-Plattform PRISM hat die Schwachstelle 15 Tage nach Einführung erkannt, der Patch landete 19 Tage später im Repository. Vor zwei Jahren hätten vergleichbare Bugs 60 bis 180 Tage offen gelegen. Die AI-gestützte Vulnerability-Forschung verkürzt das Fenster für Angreifer und Verteidiger zugleich. Was darunter strategisch zu beachten ist, fasst unser Beitrag zu Cybersecurity-Grundlagen für KMU zusammen.
Ein Plugin mit Schwerpunkt Datenschutz, das eine 9,8er-Auth-Bypass-Lücke trägt, ist eine schwere Vertrauens-Hypothek. Burst Statistics wurde gerade von DSGVO-bewussten KMU eingesetzt, die nach einer Google-Analytics-Alternative gesucht haben. Wer die Patches nicht binnen Tagen nachzieht, riskiert eine doppelte Story: Datenleak plus Compliance-Versagen.
— Michael Dobler, Herausgeber Dr. Web
Was Site-Betreiber jetzt tun müssen
Die Sofort-Maßnahme heißt Update. Wer Burst Statistics in der Version 3.4.0 oder 3.4.1.1 betreibt, spielt unverzüglich die Version 3.4.2 oder höher ein. Das Update läuft regulär über das WordPress-Dashboard unter Plugins, ein vorheriges Backup ist Pflicht. Wer aus Kompatibilitätsgründen nicht updaten kann, deaktiviert das Plugin sofort.
Die Forensische Prüfung ist der zweite Schritt. Öffnen Sie die WordPress-Benutzerliste und prüfen Sie auf neu angelegte Admin-Accounts, die niemand kennt. Verdächtige Logins und ungewöhnliche IP-Bereiche in den Access-Logs sind die typischen Marker. Bei Plugins mit Login-Audit wie iThemes Security oder WP Activity Log lässt sich das schneller erledigen. Bestand bereits ein Angriffsfenster, gehört die Site auf eine bereinigte Restore-Kopie.
Die Härtung reicht über Burst Statistics hinaus. Schalten Sie Zwei-Faktor-Authentifizierung für alle Admin-Accounts ein, prüfen Sie die Liste der installierten Plugins auf inaktive oder veraltete Komponenten und legen Sie eine Routine für wöchentliche Updates fest. Wordfence-Premium-, Care- und Response-Kunden haben den Filter bereits am 8. Mai erhalten, Free-Kunden bekommen ihn ab 7. Juni. Wer im Plugin-Stack mehrere bekannte Lücken trägt, gehört in eine professionelle WordPress-Hosting-Umgebung mit aktiver Threat-Intelligence.
Die Meldepflicht nach DSGVO trifft Sie, sobald personenbezogene Daten betroffen sind. Burst Statistics speichert pseudonymisierte Besucherdaten, ein Admin-Übernahme-Vorfall kann darüber hinaus die gesamte Site samt Kunden- oder Newsletter-Datenbank betreffen. Im Verdachtsfall greift die 72-Stunden-Meldefrist an die zuständige Aufsichtsbehörde.
Mehr Newshunger?
