Ein Nutzerkonto mit präparierter E-Mail-Adresse genügte, um im Anti-Spam-Plugin CleanTalk Skriptcode zu hinterlegen. Ausgeführt wurde der Code erst, sobald ein Admin die Spam-Prüfung der Nutzerkonten öffnete. Version 6.90 schließt die sechste Sicherheitslücke seit Juni, die auch Fremde ohne Konto ausnutzen konnten.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenAm 23. Oktober erschien die Lücke unter der Kennung CVE-2026-109198 in der US-Schwachstellendatenbank NVD, gemeldet von Wordfence.[1] Die Korrektur hatte CleanTalk Inc. schon am Vorabend mit Version 6.90 ausgeliefert, ohne sie im Änderungsprotokoll zu erwähnen. Laut wordpress.org läuft das Plugin auf mehr als 200.000 Websites (Stand 23. Oktober).[2]
Das Wichtigste in Kürze
- CVE-2026-109198 betrifft CleanTalk bis Version 6.89.1, Wordfence vergibt nach CVSS 3.1 den Wert 7,2 (hoch).
- Angreifbar sind Websites, auf denen sich Besucher selbst registrieren dürfen.
- Laut wordpress.org lief am 23. Oktober knapp die Hälfte der Installationen bereits mit 6.90.
- Angriffe sind bisher nicht bekannt.
Wie gelangte der Code ins Backend?
CleanTalk bietet eine Spam-Prüfung für bestehende Nutzerkonten. Das Plugin gleicht dabei E-Mail- und IP-Adressen ab und listet verdächtige Konten in eigenen Tabellen auf, Konten ohne prüfbare Angaben in einer gesonderten Liste. Diese Tabellen gaben die E-Mail-Adresse bis Version 6.89.1 ohne Maskierung in den HTML-Code der Seite aus, also ohne Sonderzeichen unschädlich zu machen.[3]
Ein Angreifer musste sich nur mit präparierter Adresse registrieren und warten. Laut Wordfence startet der Code, sobald ein Admin die Prüfung laufen lässt und die Liste der Spam-Konten oder der nicht prüfbaren Konten öffnet, also genau den Arbeitsablauf, den CleanTalk selbst beschreibt.[1] Mit eingeschleusten Skripten legen Angreifer im Namen angemeldeter Admins etwa neue Konten an.
Version 6.90 maskiert die Sonderzeichen von E-Mail- und IP-Adressen in beiden Tabellen, das zeigt der Vergleich mit Version 6.89.1.[3] Die Lücke ist damit offengelegt und durch ein Update geschlossen. Die US-Behörde CISA verzeichnete am 23. Oktober keine Ausnutzung, im Katalog aktiv ausgenutzter Lücken fehlt ein Eintrag.[4]
Warum häufen sich bei CleanTalk die Lücken?
Am 10. Oktober hatte Dr. Web die fünfte CleanTalk-Lücke seit Juni gemeldet, die Fremde ausnutzen konnten. Vier der fünf früheren Lücken liefen über Kommentare oder Shortcodes auf der öffentlichen Seite.[5] CVE-2026-109198 nutzt dagegen ausgerechnet das Werkzeug, mit dem Betreiber Spam-Konten aufspüren.
Dieselbe Bauart traf diese Woche Redirection for Contact Form 7: Formulardaten von Besuchern ohne Konto wurden erst im Backend zum Skript, als ein Admin den Eintrag öffnete. Bei Kirki konnten Fremde Anfang Oktober über die Registrierung Schadcode einschleusen. Viele Plugin-Entwickler behandeln Admin-Tabellen als geschützten Bereich, obwohl die angezeigten Daten aus Registrierung und Formularen von Fremden stammen.
Vier Bedingungen bis zum Schaden
Viele WordPress-Websites lassen die Registrierung offen, obwohl dort niemand ein Konto braucht. Jedes überflüssige Formular ist ein zusätzlicher Eingang für Fremde.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Bringen Sie CleanTalk auf Version 6.90 und prüfen Sie, ob automatische Updates für das Plugin aktiv sind.
- Erst das Update, dann die Prüfung: Starten Sie die Spam-Prüfung der Nutzerkonten erst, sobald Version 6.90 läuft.
- Registrierung schließen: Unter Einstellungen, Allgemein steht die Option „Jeder kann sich registrieren“. Websites ohne Mitgliederbereich schalten die Option ab, Shops prüfen zusätzlich die Kontoeinstellungen von WooCommerce.
- Konten kontrollieren: Lief die Prüfung mit einer älteren Version, suchen Sie nach unbekannten Admin-Konten und neu installierten Plugins. Lagen dabei personenbezogene Daten offen, prüfen Sie die 72-Stunden-Meldepflicht nach Art. 33 DSGVO.[6]
- Kundenseiten ordnen: Agenturen aktualisieren zuerst die Websites mit offener Registrierung.
In jeder WordPress-Wartung stehen Updates von Sicherheits-Plugins ganz oben. Welche Managed-Hoster Plugin-Updates selbst einspielen, zeigt der WordPress-Hosting-Vergleich.
FAQ: CleanTalk mit über 200.000 Installationen: schwere Sicherheitslücke im Spam-Scan
Welche CleanTalk-Version schließt CVE-2026-109198?
Version 6.90 schließt die Lücke und steht seit dem 22. Oktober 2026 auf wordpress.org bereit. Betroffen sind alle Versionen bis einschließlich 6.89.1. Die installierte Version zeigt die Plugin-Übersicht im WordPress-Dashboard.
Ist eine Website ohne offene Registrierung betroffen?
Laut Wordfence setzt der Angriff voraus, dass sich Besucher selbst ein Konto anlegen dürfen. Shop- und Mitglieder-Plugins wie WooCommerce legen über eigene Formulare ebenfalls Nutzerkonten an. Betreiber prüfen deshalb nicht nur die WordPress-Einstellung.
Wird die CleanTalk-Lücke bereits ausgenutzt?
Berichte über Angriffe liegen bisher nicht vor. Die US-Behörde CISA bewertete die Lücke am 23. Oktober als nicht ausgenutzt, im Katalog aktiv ausgenutzter Lücken fehlt ein Eintrag.
Quellen
6 Quellen anzeigenQuellen ausblenden
- NIST, National Vulnerability DatabaseCVE-2026-109198, gemeldet von Wordfence, veröffentlicht am 23. Oktober 2026; Wordfence: Eintrag in Wordfence Intelligence
- WordPress.orgCleanTalk Anti-Spam, aktive Installationen und Versionsstatistik, abgerufen am 23. Oktober 2026; Änderungsprotokoll Version 6.90
- WordPress.org Plugin-VerzeichnisÄnderungen zwischen Version 6.89.1 und 6.90, abgerufen am 23. Oktober 2026
- CISAKnown Exploited Vulnerabilities Catalog, abgerufen am 23. Oktober 2026; Bewertung der CISA im NVD-Eintrag zu CVE-2026-109198
- NIST, National Vulnerability DatabaseCVE-2026-8071, CVE-2026-77830 und CVE-2026-103424
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- CleanTalk mit über 200.000 Installationen: fünfte Lücke ohne Login seit Juni
- Redirection for Contact Form 7 mit über 200.000 Installationen: Fremde konnten Skripte einschleusen
- Kirki mit über 500.000 Installationen: Fremde können über die Registrierung Schadcode einschleusen
- User Registration & Membership: neun Lücken bei über 50.000 WordPress-Websites
- Otter Blocks mit über 300.000 Installationen: Fremde konnten geschützte Inhalte lesen
- WebP Express mit über 300.000 Installationen: schwere Sicherheitslücke beim HTML-Umbau
