Beim Sicherheits-Plugin Defender Security von WPMU DEV durfte ein Angreifer den Zwei-Faktor-Code beliebig oft eingeben, sofern er das Passwort des Kontos kannte. Eine zweite Sicherheitslücke ließ ihn laut WPScan seine IP-Adresse fälschen und so der Sperre nach Fehlversuchen entgehen. Version 6.4.1 schließt beide, das Plugin läuft auf mehr als 80.000 Websites.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die Sicherheitsdatenbank WPScan hat am 10. November zwei Sicherheitslücken im WordPress-Plugin Defender Security veröffentlicht, die NVD führt sie seit dem 12. November.[1][4] Laut wordpress.org läuft das Plugin auf mehr als 80.000 aktiven Installationen (Stand 12. November).[2] WPScan bewertet die fehlende Begrenzung beim Zwei-Faktor-Code mit 7,5 von 10 Punkten (CVSS 3.1, hoch), die fälschbare IP-Adresse mit 5,3 (mittel). Behoben sind beide in Version 6.4.1 vom 5. November.[3]
Das Wichtigste in Kürze
- Der Code der Zwei-Faktor-Anmeldung (CVE-2026-119040) ließ sich in allen Versionen vor 6.4.1 beliebig oft eingeben. Der Angreifer braucht dafür das Passwort des Kontos.
- Die IP-Adresse (CVE-2026-119039) ließ sich in den Versionen 4.9.0 bis 6.4.0 ohne Konto fälschen, mit Folgen für Sperren, Allowlist und Protokolle.
- Angriffe sind nicht bekannt. WPScan zeigt die Prüfcodes ab dem 24. November und dem 10. Dezember.
- Bei Anmeldungen per Code ist das die vierte Lücke in vier Wochen.
Was fehlte bei der Prüfung des Codes?
Einmalcodes aus Authenticator-Apps bestehen in der Regel aus sechs Ziffern, das sind eine Million Möglichkeiten. Das reicht nur, wenn jede falsche Eingabe zählt. Laut WPScan begrenzte Defender die Fehlversuche bei der Code-Prüfung in der Standardkonfiguration nicht.[1] Ein Code ohne Zähler ist ein Passwort mit sechs Ziffern. Ohne das Passwort kommt ein Angreifer an diese Stelle gar nicht heran. Der zweite Faktor soll aber genau den Fall abfangen, in dem das Passwort schon gestohlen ist.
Die zweite Lücke betrifft die Erkennung der IP-Adresse. Defender entscheidet anhand der Adresse eines Besuchers über Sperren nach Fehlversuchen, Blocklisten und Allowlist. In den Versionen 4.9.0 bis 6.4.0 übernahm das Plugin standardmäßig einen Wert, den der Besucher selbst mitschickt, ohne dessen Herkunft zu prüfen.[1] Ein Fremder ohne Konto konnte damit eine beliebige Adresse vortäuschen, Sperren umgehen, sich als erlaubte Adresse ausgeben und die Protokolle mit falschen Einträgen füllen. Ob sich beide Fehler in der Praxis verketten lassen, belegt WPScan nicht.
Warum tauchen Fehler dieser Art immer wieder auf?
Bei LatePoint zählte im Oktober ein Fehlversuchszähler bei gleichzeitigen Anfragen falsch, bei Security Optimizer mit mehr als 1 Million Installationen fehlte er beim Zwei-Faktor-Code ganz, bei All In One Login blieb der E-Mail-Code ohne wirksame Sperre. Dazu kommt jetzt Defender. Bei Security Optimizer und Defender nennt WPScan denselben Entdecker, Karthik Ramakrishnan.[1] Das Muster: Ein Plugin prüft ein kurzes Geheimnis, aber der Schutz davor fehlt oder greift nicht. Das Passwortfeld hat meist eine Sperre, das neue Feld für den Code bekommt sie nicht automatisch. Jede Eingabe, die ein Geheimnis prüft, braucht einen eigenen Zähler. Der muss auch bei parallelen Anfragen stimmen.
Wie viele Websites betroffen sind, lässt sich nicht beziffern. Laut wordpress.org liefen am 12. November rund 33 Prozent der Installationen auf den Zweigen 6.2 und 6.3, weitere 41 Prozent sind in der Statistik unter „andere“ zusammengefasst.[2] Der Zweig 6.4 mit 26 Prozent enthält auch die ungepatchte Version 6.4.0, ein exakter Anteil bleibt offen. Version 6.4.1 behebt laut Änderungsprotokoll außerdem einen Fehler im Audit-Log und einen Fehler beim Abmelden, beide ohne CVE.[3]
Ein Code ohne Fehlversuch-Limit ist kein zweiter Faktor, sondern eine Zahl, die irgendwann jemand trifft.
Markus Seyfferth, Chefredakteur Dr. Web
Der Ablauf bis heute
| Datum | Ereignis | Quelle |
|---|---|---|
| 5. November | Version 6.4.1 korrigiert Code-Prüfung und IP-Erkennung | wordpress.org |
| 10. November | WPScan veröffentlicht beide Einträge, Entdecker Karthik Ramakrishnan | WPScan |
| 12. November | NVD führt CVE-2026-119039 und CVE-2026-119040 | NVD |
| 24. November | Prüfcode zur IP-Lücke wird öffentlich | WPScan |
| 10. Dezember | Prüfcode zur Code-Lücke wird öffentlich | WPScan |
Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt. Betroffen sind bei der Code-Lücke Konten mit eingerichteter Zwei-Faktor-Anmeldung.
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Defender in Version 6.4.1 oder neuer ein und prüfen Sie, ob automatische Updates für das Plugin aktiv sind.
- Konten prüfen: Suchen Sie in der Benutzerliste nach Administratoren, die Sie nicht angelegt haben. Das Protokoll aus der Zeit vor dem Update gilt wegen der fälschbaren Adresse nur eingeschränkt.
- Allowlist prüfen: Streichen Sie Einträge, die Sie nicht selbst gesetzt haben. Ändern Sie Passwörter von Administratoren, wenn Ihnen etwas auffällt, denn das Passwort ist die Voraussetzung für die Code-Lücke.
- Meldepflicht klären: Wurde ein Konto übernommen und waren personenbezogene Daten erreichbar, prüfen Sie die Meldung binnen 72 Stunden (Art. 33 DSGVO).[5]
Die Zwei-Faktor-Anmeldung bleibt sinnvoll, nur ihr Zähler fehlte. Agenturen mit vielen Kundenwebsites aktualisieren zuerst die Seiten mit mehreren Administratoren. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, Managed-Hoster mit eigener Firewall nennt der WordPress-Hosting-Vergleich.
FAQ: Sicherheitslücken bei Defender Security
Welche Defender-Version schließt die Sicherheitslücken?
Version 6.4.1 schließt laut Änderungsprotokoll beide Lücken, sie steht seit dem 5. November bereit. Betroffen sind bei der IP-Lücke die Versionen 4.9.0 bis 6.4.0, bei der Code-Lücke alle Versionen davor.
Kann jeder Besucher die Code-Lücke ausnutzen?
Nein. Laut WPScan braucht der Angreifer das Passwort eines Kontos, für das die Zwei-Faktor-Anmeldung eingerichtet ist. Die IP-Lücke dagegen nutzt ein Fremder ohne Konto aus, sie ist aber nur mit 5,3 Punkten als mittel bewertet.
Wird Defender schon angegriffen?
Bis zum 12. November 2026 liegen keine Berichte über Angriffe vor, der Fall steht nicht im CISA-Katalog ausgenutzter Schwachstellen. WPScan veröffentlicht die Prüfcodes am 24. November und am 10. Dezember, Updates sollten vorher laufen.
Sollte ich die Zwei-Faktor-Anmeldung abschalten?
Nein. Die Lücke lag in der fehlenden Begrenzung der Fehlversuche, nicht im Verfahren. Nach dem Update auf 6.4.1 zählt Defender falsche Codes laut Änderungsprotokoll mit, ohne den zweiten Faktor wären Konten schlechter geschützt.
Quellen
5 Quellen anzeigenQuellen ausblenden
- WPScanCVE-2026-119040 und CVE-2026-119039, veröffentlicht am 10. November 2026, abgerufen am 12. November 2026
- wordpress.orgDefender Security, aktive Installationen und Versionsverteilung, abgerufen am 12. November 2026
- wordpress.orgÄnderungsprotokoll von Defender Security (Version 6.4.1 vom 5. November 2026), abgerufen am 12. November 2026
- NVDCVE-2026-119040 und CVE-2026-119039, aufgenommen am 12. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Security Optimizer mit über 1 Million Installationen: Zwei-Faktor-Codes ließen sich beliebig oft raten
- Kritische Sicherheitslücke bei All In One Login
- LatePoint mit über 100.000 Installationen: Fremde konnten Kundenkonten übernehmen
- Schwere Sicherheitslücke bei WPML mit Sprachdomains
- Sicherheitslücken bei ProfilePress in Mitgliedschaften
- Unsichere Login-Daten: Der häufigste WordPress-Fehler und wie Sie ihn vermeiden
