Duplicator mit über 1 Million Installationen: Ein Kommentar genügt für den Angriff beim Umzug

Ein Kommentar ohne Anmeldung genügt, um in Duplicator vor Version 5.0.0 einen Angriff für einen späteren Website-Umzug vorzubereiten. Zieht ein Administrator die Website mit einem neu erstellten Paket um, löst das Installationsprogramm den Angriff aus. Den Patch gibt es seit dem 8. September, laut wordpress.org laufen 61 Prozent der Installationen noch auf älteren Versionszweigen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Gefunden hat die Lücke CVE-2026-82814 das Sicherheitsunternehmen Wordfence, veröffentlicht hat es sie am 20. Oktober.^[1] Das Backup- und Umzugs-Plugin hat laut wordpress.org mehr als eine Million aktive Installationen (Stand 21. Oktober).^[2]

Das Wichtigste in Kürze

• Duplicator bis 1.5.17 und Duplicator Pro bis 4.6.10 sind betroffen (CVSS 3.1: 8,8, vergeben von Wordfence).
• Der Angreifer braucht kein Konto, ausgenutzt wird die Lücke erst bei einem Umzug durch den Administrator.
• In der kostenlosen Fassung lassen sich Systembefehle ausführen, in der Pro-Fassung beliebige Dateien löschen.
• Version 5.0.0 behebt den Fehler, Angriffe sind bis zum 21. Oktober nicht bekannt.

Wie funktioniert der Angriff auf Duplicator?

Wordfence beschreibt einen Angriff in zwei Stufen. Der Angreifer schickt einen präparierten Kommentar ab, WordPress speichert ihn auch dann, wenn er auf Freigabe wartet. Erstellt der Administrator danach ein Duplicator-Paket und zieht die Website damit um, wandelt das Installationsprogramm den Kommentar beim Ersetzen der alten Adressen zurück in ein PHP-Objekt. Das Erstellen eines Backups allein löst nichts aus, eine Wiederherstellung hat Wordfence nicht als Auslöser nachgewiesen.^[1]

Die Folgen unterscheiden sich je Fassung. In der kostenlosen Version konnte Wordfence Systembefehle auf dem Server ausführen. In der Pro-Fassung ließ sich eine beliebige Datei löschen, etwa die Konfigurationsdatei. Erreicht der Angreifer danach als Erster den Installationsassistenten von WordPress, übernimmt er die Website mit einer eigenen Datenbank.^[3]

Warum laufen so viele Websites noch auf alten Versionen?

Version 5.0.0 ist kein gewöhnliches Update. Laut Änderungsprotokoll laufen die kostenlose und die Pro-Fassung seither auf einem gemeinsamen Unterbau, die Nummer springt von 1.5.17 auf 5.0.0.^[4] Automatische Plugin-Updates schalten Administratoren in WordPress seit Version 5.5 für jedes Plugin einzeln ein.^[5] Laut der Versionsstatistik von wordpress.org liefen am 21. Oktober 55,9 Prozent der Installationen auf Zweig 1.5 und 5,4 Prozent auf Zweig 1.4. Rechnerisch sind das bei mehr als einer Million Installationen über 600.000 Websites mit einer anfälligen Version.^[2]

Dieselbe Art von Lücke traf zuletzt LearnPress. Duplicator selbst hat einen Präzedenzfall: Eine 2020 geschlossene Lücke zum Herunterladen fremder Dateien nutzten Angreifer aus, die US-Behörde CISA führt sie in ihrem Katalog aktiv ausgenutzter Schwachstellen.^[6] 2022 verrieten liegengebliebene Installationsdateien Fremden die Adresse des kompletten Backups.^[7]

Was sollten Betreiber jetzt tun?

• Aktualisieren: Bringen Sie Duplicator und Duplicator Pro auf 5.0.0 oder neuer. Die installierte Version zeigt die Plugin-Übersicht im Dashboard.
• Pakete neu erstellen: Ein altes Paket enthält weiterhin das alte Installationsprogramm. Erstellen Sie vor dem nächsten Umzug zu einem neuen Hoster ein frisches Paket mit der aktuellen Version.
• Installationsdateien löschen: Entfernen Sie öffentlich erreichbare Installationsdateien früherer Umzüge vom Server.
• Kommentare prüfen: Löschen Sie verdächtige wartende Kommentare vor dem Erstellen eines Pakets. Die Kommentarmoderation allein schützt nicht.
• Melden: Gab es nach einem Umzug Anzeichen einer Übernahme, prüfen Sie die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden Zeit lässt.^[8]

Wordfence liefert eine eigene Firewall-Regel seit dem 15. Oktober an zahlende Kunden aus, Nutzer der Gratisversion erhalten sie am 14. November. Agenturen, die Kunden-Websites auf Staging-Server kopieren, aktualisieren Duplicator vor dem nächsten Auftrag. Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen Plugin-Updates teils automatisch ein.

FAQ: Duplicator mit über 1 Million Installationen: Ein Kommentar genügt für den Angriff beim Umzug

Quellen

Mehr Newshunger?

• Modern Events Calendar: Abonnenten konnten Buchungen und Datenbank auslesen
• UpdraftPlus: Erst Version 1.26.13 sperrt die gestohlenen Schlüssel
• LearnPress mit über 70.000 Installationen: kritische Lücke im Bezahlvorgang
• Backuply mit über 600.000 Installationen: Eine Wiederherstellung kann Abonnenten zu Admins machen
• User Registration & Membership: neun Lücken bei über 50.000 WordPress-Websites
• Kirki mit über 500.000 Installationen: Fremde konnten Nutzerdaten auslesen