Click to Chat: kritische Lücke ohne Login im WhatsApp-Plugin mit über 600.000 Installationen

Michael Dobler

Autor Dr. Web

14. Oktober 2026

3 Min. Lesezeit

Im WhatsApp-Plugin Click to Chat von HoliThemes konnten Fremde ohne Anmeldung beliebige Shortcodes einer WordPress-Website ausführen. Angreifbar sind Websites, deren Begrüßungsfenster die Adresse der aufgerufenen Seite einblendet. Version 4.45 schließt die Lücke, laut wordpress.org liefen am 14. Oktober aber rund 71 Prozent der über 600.000 Installationen auf älteren Versionen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Ein grünes Chat-Symbol am Bildrand, daneben ein Fenster mit einem Gruß: So binden viele Betreiber ihren WhatsApp-Kontakt ein. Über dieses Begrüßungsfenster gelangten fremde Befehle in die Seite. Am 13. Oktober veröffentlichte Wordfence die Lücke CVE-2026-92097, gemeldet von einem Forscher namens Kuba.^[1]

Das Wichtigste in Kürze

CVE-2026-92097 betrifft Click to Chat bis Version 4.44 und ist in 4.45 vom 28. September behoben (CVSS 3.1: 9,1, vergeben von Wordfence).
Die Lücke greift nur bei aktivem Begrüßungsfenster mit dem Platzhalter {url} im Haupttext.
Dieselbe Lückenklasse fand sich Anfang Oktober in LatePoint und All in One SEO.
Angriffe sind bis zum 14. Oktober nicht bekannt.

Wie gelangt ein Shortcode in das Begrüßungsfenster?

Weißes Sprechblasen-Objekt mit steckendem orangefarbenem Schlüssel und Tag „Herzlich willkommen“ — Shortcodes sind Kurzbefehle in eckigen Klammern, die Formulare oder geschützte Inhalte in Seiten einfügen. Click to Chat bietet Platzhalter wie {title} für Seitentitel und {url} für Seitenadresse

Shortcodes sind Kurzbefehle in eckigen Klammern, mit denen Themes und Plugins Formulare oder geschützte Inhalte in eine Seite setzen. WordPress führt jeden Shortcode im Seiteninhalt aus, auch einen fremden. Click to Chat bietet für den Begrüßungstext Platzhalter an: {title} steht für den Seitentitel, {url} für die Adresse der aufgerufenen Seite.

Der Fehler steckt in der Reihenfolge. Auf Archivseiten wie Kategorie- oder Schlagwortübersichten übernahm das Plugin die Adresse aus der Anfrage des Besuchers. Den Begrüßungstext bereinigte Click to Chat aber schon vor dem Einsetzen des Platzhalters, die Adresse erreichte die Shortcode-Verarbeitung also ungefiltert.^[1] Ein präparierter Seitenaufruf genügte, um Shortcodes aus Core, Theme und anderen Plugins anzustoßen. Die Folgen hängen davon ab, welche Shortcodes die Website registriert hat. Version 4.45 verarbeitet Shortcodes nur noch im Text des Betreibers, bevor die Platzhalter an die Reihe kommen.^[2]

Welche Websites sind tatsächlich angreifbar?

Ab Werk ist das Begrüßungsfenster ausgeschaltet, der vorgegebene Text nutzt nur den Platzhalter {title}.^[3] Gefährdet sind deshalb Websites, deren Betreiber das Fenster eingeschaltet und {url} in den Haupttext geschrieben haben. Nur für diesen Fall gilt die Bewertung mit 9,1 Punkten. Wie viele der über 600.000 Installationen so eingestellt sind, nennen weder Wordfence noch HoliThemes.^[4]

Im Buchungs-Plugin LatePoint genügte eine Terminbuchung, um Shortcodes einzuschleusen, bei All in One SEO fehlte nach Updates älterer Installationen der Schutz komplett. Das Muster wiederholt sich: Plugins setzen Besucherdaten in Texte ein, die WordPress danach als Inhalt des Betreibers behandelt. Für die vier älteren Lücken in Click to Chat seit 2022 brauchten Angreifer laut Wordfence noch ein Mitwirkenden-Konto.^[1]

Click-to-Chat-Lücke CVE-2026-92097 im Steckbrief

Schwere, Reichweite und Zeitablauf, Stand 14. Oktober 2026

600.000+

aktive Installationen von Click to Chat laut wordpress.org

9,1

Punkte nach CVSS 3.1 vergibt Wordfence, Angriff ohne Anmeldung möglich

71 %

der Installationen liefen am 14. Oktober auf Versionen vor 4.45

{url}

im Begrüßungstext ist die Voraussetzung, ab Werk ist das Fenster ausgeschaltet

Vom Patch bis zur Offenlegung

5. Juni

Vorgänger

Wordfence meldet eine Lücke für Konten ab Mitwirkenden-Rolle (CVE-2026-7795)

28. September

Patch

Version 4.45 verarbeitet Shortcodes nur noch im Text des Betreibers

13. Oktober

Offenlegung

Wordfence veröffentlicht CVE-2026-92097, ausnutzbar ohne Anmeldung

14. Oktober

NVD

Die US-Datenbank NVD übernimmt den Eintrag, Angriffe sind nicht bekannt

Ein Filter, der vor dem Platzhalter läuft, schützt den Text des Betreibers und lässt den des Angreifers durch.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie Click to Chat auf Version 4.45 oder neuer und prüfen Sie, ob automatische Plugin-Updates eingeschaltet sind.
Begrüßungstext prüfen: Steht {url} im Haupttext, war die Website angreifbar. Bis zum Update den Platzhalter entfernen oder das Fenster abschalten.
Kundensites sortieren: Agenturen aktualisieren zuerst die Installationen mit aktivem Begrüßungsfenster.

Am selben Tag veröffentlichte Wordfence eine Lücke in CFDB7, der Datenbank-Erweiterung für Contact Form 7 mit ebenfalls über 600.000 Installationen. Bis Version 1.4.1 brachte ein präpariertes Formularfeld das Plugin dazu, beim Löschen des Eintrags im Backend eine andere Datei zu entfernen (CVSS 3.1: 5,3).^[5] Version 1.4.2 vom 9. Oktober schließt die Lücke.

Hinter Formular-Plugins wie MetForm liegen personenbezogene Daten. Die DSGVO verlangt Schutz nach dem Stand der Technik (Art. 32), ein Datenabfluss löst die Meldepflicht binnen 72 Stunden aus (Art. 33).^[6] Einen Überblick über Managed-Hoster mit Update-Service gibt der WordPress-Hosting-Vergleich.

Was ist Click to Chat?

Click to Chat ist ein WordPress-Plugin des Herstellers HoliThemes, das einen WhatsApp-Knopf auf der Website einblendet. Besucher starten darüber einen Chat mit dem Betreiber. Laut wordpress.org läuft das Plugin auf mehr als 600.000 Websites.

Welche Version von Click to Chat ist sicher?

Sicher ist Version 4.45 vom 28. September 2026 oder neuer. Alle Versionen bis einschließlich 4.44 enthalten die Lücke CVE-2026-92097. Welche Version installiert ist, zeigt die Plugin-Übersicht im WordPress-Dashboard.

Ist meine Website ohne Begrüßungsfenster betroffen?

Nein. Nach der Beschreibung von Wordfence und dem Programmcode greift die Lücke nur bei aktivem Begrüßungsfenster mit dem Platzhalter {url} im Haupttext. Das Update auf 4.45 empfiehlt sich trotzdem, weil Einstellungen sich später ändern können.

Was ist ein Shortcode in WordPress?

Ein Shortcode ist ein Kurzbefehl in eckigen Klammern, den WordPress beim Anzeigen einer Seite durch Inhalte ersetzt, etwa ein Formular oder eine Galerie. Core, Themes und Plugins registrieren eigene Shortcodes, welche das sind, hängt von der jeweiligen Installation ab.

Wird die Lücke in Click to Chat schon ausgenutzt?

Bis zum 14. Oktober 2026 sind keine Angriffe bekannt, die US-Behörde CISA führt die Lücke nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Die Lücke steht damit auf der Stufe Patch verfügbar.