Fremde konnten über Formulare mit Dateifeld Dateien auf Websites mit Contact Form 7 ablegen, ohne angemeldet zu sein. Auf manchen Servern lässt sich so Schadcode ausführen. Version 6.2.4 vom 29. Oktober behebt den Fehler, den Beweiscode will der Entdecker am 19. November veröffentlichen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die Schwachstellendatenbank WPScan hat am 5. November eine Sicherheitslücke im WordPress-Plugin Contact Form 7 veröffentlicht, die seit dem 8. November in der US-Datenbank NVD als CVE-2026-114432 steht.[1][3] Laut wordpress.org nutzen mehr als 10 Millionen aktive Installationen das Plugin der Rock Lobster Inc., aktuell ist Version 6.2.4.1.[2]
Das Wichtigste in Kürze
- Besucher ohne Konto können über das Dateifeld eines Formulars beliebige Dateien auf den Server laden. Eine CVSS-Wertung fehlt noch.
- Codeausführung ist laut WPScan auf einer Apache-Standardkonfiguration von Debian und Ubuntu möglich. Sonst bleibt die Datei im Uploads-Ordner.
- Betroffen sind laut WPScan die Versionen 6.2 bis 6.2.3, behoben ist die Lücke in 6.2.4 vom 29. Oktober.
- Angriffe sind nicht belegt, der Beweiscode soll am 19. November erscheinen.
Wie wird aus einem Upload-Feld eine Lücke für Schadcode?
Ein Upload-Feld nimmt Dateien von Fremden an, deshalb muss es Typ und Endung prüfen. Genau diese Prüfung fehlt laut WPScan bei Dateien, die über das Dateifeld eines Formulars eingehen. Außerdem schlägt das Aufräumen temporärer Dateien fehl: Die hochgeladene Datei bleibt auf dem Server liegen.[1]
Ob Schadcode läuft, hängt vom Server ab. Auf einer Apache-Standardkonfiguration von Debian oder Ubuntu, die Verzeichnisinhalte auflistet und bestimmte PHP-Dateiendungen ausführt, lässt sich die abgelegte Datei finden und starten. Das nennt WPScan Remote Code Execution. Bei nginx oder bei Apache mit aktiven .htaccess-Regeln bleibt es beim Schreiben einer Datei in den Uploads-Ordner, die als HTML oder SVG unter der Adresse der Website ausgeliefert werden kann.[1] Solche Inhalte erscheinen unter der Adresse der Website, was Phishing und Skriptangriffe erleichtert.
Betroffen sind laut WPScan die Versionen 6.2 bis 6.2.3, die NVD nennt nur „vor 6.2.4“ ohne Untergrenze.[1][3] Die behobene Version stammt aus diesen beiden Einträgen: Das Änderungsprotokoll von 6.2.4 nennt keine Sicherheitsdetails. Version 6.2.4.1 aktualisiert nur eine Programmbibliothek.[2] Am 8. November lief die Reihe 6.2 auf 19,2 Prozent der Installationen, darin stecken auch behobene Versionen. Ältere Reihen führt WPScan nicht auf.[2]
Ist das die erste Upload-Lücke in Contact Form 7?
Nein. Im Dezember 2020 behob Version 5.3.2 die Lücke CVE-2020-35489: Ein Dateiname durfte Sonderzeichen enthalten, wodurch Fremde beliebige Dateien hochladen und Code ausführen konnten. Die NVD bewertet sie mit CVSS 3.1: 10,0.[4] Beide Fälle haben dieselbe Wurzel: Dateiname, Typ und Endung kommen vom Besucher und gelten als unzuverlässig, bis das Plugin sie geprüft hat.
Beim Baukasten Bricksforge nutzten Angreifer eine Upload-Lücke ohne Login bereits aus. Bei Elementor ging es um präparierte SVG-Grafiken. Das Zusatzmodul Ultra Addons for Contact Form 7 ließ Fremde Dateien löschen.
Der Stand: WPScan hat die Lücke am 5. November offengelegt, der Patch 6.2.4 ist seit dem 29. Oktober erhältlich. Der Beweiscode soll am 19. November folgen. Für Angriffe gibt es keinen Beleg, der Eintrag steht am 8. November nicht im Katalog der CISA für ausgenutzte Schwachstellen.[5]
Von der neuen Version bis zum Beweiscode
Auf welchen Versionsreihen die Installationen liefen
Orange: Die Reihe 6.2 enthält betroffene (6.2.0 bis 6.2.3) und behobene Versionen (6.2.4, 6.2.4.1). Die Statistik von wordpress.org zeigt Anteile je Versionsreihe, nicht je Einzelversion. Ältere Reihen führt WPScan nicht als betroffen auf.
Ein Upload-Feld gibt Fremden Schreibrecht auf den Server. Typ und Endung zu prüfen ist dann keine Kür.
Michael Dobler, Herausgeber Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Installieren Sie Contact Form 7 in Version 6.2.4 oder neuer und aktivieren Sie automatische Updates für das Plugin.
- Uploads prüfen: Suchen Sie im Ordner wp-content/uploads nach Dateien, die dort nichts zu suchen haben, etwa mit der Endung PHP oder PHAR, außerdem nach unbekannten HTML- und SVG-Dateien.
- Server härten: Schalten Sie die Anzeige von Verzeichnisinhalten ab und sperren Sie die Ausführung von PHP im Uploads-Ordner. Der Hoster kennt die Konfiguration.
- Übergangsweise abschalten: Lässt sich das Update nicht sofort einspielen, nehmen Sie Dateifelder aus den Formularen oder deaktivieren Sie das Plugin.
Kontrollieren Sie zudem unbekannte Administratorkonten und veränderte Dateien. Agenturen filtern ihre Update-Werkzeuge nach Contact Form 7 bis 6.2.3. Gespeicherte Anfragen enthalten personenbezogene Daten. Art. 32 DSGVO verlangt dafür angemessenen Schutz, bei Verdacht auf Datenabfluss gilt die Meldepflicht nach Art. 33 DSGVO binnen 72 Stunden. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Im WordPress-Hosting-Vergleich finden Betreiber Anbieter, die Updates und Überwachung übernehmen.
FAQ: Sicherheitslücke bei Contact Form 7
Welche Contact-Form-7-Versionen sind von der Upload-Lücke betroffen?
Laut WPScan sind die Versionen 6.2 bis 6.2.3 betroffen. Die NVD nennt nur „vor 6.2.4“. Behoben ist die Lücke in Version 6.2.4 vom 29. Oktober 2026, aktuell ist 6.2.4.1.
Braucht ein Angreifer ein Konto auf der Website?
Nein. Laut WPScan können Besucher ohne Anmeldung beliebige Dateien über das Dateifeld eines Formulars hochladen. Ob die Datei ausgeführt werden kann, hängt von der Serverkonfiguration ab.
Wird die Sicherheitslücke schon ausgenutzt?
Belege für Angriffe liegen am 8. November 2026 nicht vor, der Eintrag steht nicht im CISA-Katalog ausgenutzter Schwachstellen. Der Entdecker will den Beweiscode am 19. November 2026 veröffentlichen, bis dahin sollten Betreiber aktualisieren.
Wie finde ich heraus, ob mein Server die Codeausführung zulässt?
Das hängt von Webserver und Konfiguration ab. Laut WPScan ist eine Apache-Standardeinrichtung von Debian oder Ubuntu betroffen, die Verzeichnisinhalte auflistet. Fragen Sie im Zweifel Ihren Hoster. Aktualisieren Sie das Plugin unabhängig davon.
Quellen
5 Quellen anzeigenQuellen ausblenden
- WPScanContact Form 7 6.2 – 6.2.3 – Unauthenticated Arbitrary File Upload via Invalid UTF-8 Filename, veröffentlicht am 5. November 2026, abgerufen am 8. November 2026
- wordpress.orgContact Form 7, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 8. November 2026
- NVDCVE-2026-114432, veröffentlicht am 8. November 2026, Vergabestelle WPScan
- NVDCVE-2020-35489, veröffentlicht am 17. Dezember 2020
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 8. November 2026
Mehr Newshunger?
- Bricksforge: Angreifer nutzen kritische Upload-Lücke ohne Login aus
- Elementor mit über 10 Millionen Installationen: Präparierte SVG-Grafiken schleusen Skripte ein
- Ultra Addons for Contact Form 7 mit über 60.000 Installationen: Kritische Sicherheitslücke ließ Fremde Dateien löschen
- Ninja Forms mit über 500.000 Installationen: Vier neue Sicherheitslücken, drei davon ohne Anmeldung
- MW WP Form mit über 200.000 Installationen: Sicherheitslücke legt gespeicherte Anfragen offen
- Redirection for Contact Form 7 mit über 200.000 Installationen: Fremde konnten Skripte einschleusen
