Bei Elementor, das auf mehr als 10 Millionen Websites läuft, konnte ein Mitwirkender laut WPScan Skripte in Seitenelementen speichern. Sie liefen im Browser jedes Betrachters, auch im Browser eines Administrators, der den Entwurf prüft. Version 4.3.6 vom 2. November schließt die Lücke.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die Sicherheitsdatenbank WPScan hat am 9. November die Sicherheitslücke CVE-2026-104718 im Seitenbaukasten Elementor veröffentlicht, die NVD führt sie seit dem 11. November.[1][4] Laut wordpress.org hat das Plugin mehr als 10 Millionen aktive Installationen (Stand 12. November).[2] WPScan bewertet die Lücke mit 6,8 von 10 Punkten (CVSS 3.1, mittel). Angreifen kann, wer ein Konto mit der Rolle Mitwirkender hat. Behoben ist sie in Version 4.3.6 vom 2. November.[3]
Das Wichtigste in Kürze
- Elementor schrieb die Kennung eines Elements ungeprüft in ein Attribut, das der Browser als Programmcode auswertet (CVE-2026-104718).
- Betroffen sind alle Versionen vor 4.3.6. Voraussetzung ist ein Konto als Mitwirkender oder höher.
- Das Skript läuft bei jedem, der den Inhalt aufruft, auch bei einem Administrator, der den Entwurf zur Freigabe prüft.
- Angriffe sind nicht bekannt. WPScan zeigt den Prüfcode ab dem 23. November.
Wie kommt ein Mitwirkender an die Administratoren heran?
Mitwirkende dürfen Beiträge schreiben, aber nicht veröffentlichen. Ein Administrator oder Redakteur öffnet den Entwurf und gibt ihn frei. Genau an dieser Stelle setzt die Lücke an. Laut WPScan prüfte Elementor die Kennung eines Elements nicht und schrieb sie in ein Attribut, das ein clientseitiges Framework als JavaScript auswertet.[1] Ein Mitwirkender konnte so ein Skript im Inhalt ablegen, und es lief im Browser von jedem, der den Inhalt aufruft. Wer prüft, führt aus. Läuft ein Skript im Browser eines angemeldeten Administrators, kann es dort in dessen Namen Aktionen auslösen.
Wie gefährlich die Lücke ist, hängt von der Zahl der Mitwirkenden ab. Eine Website mit einem einzigen Autor ist kaum gefährdet. Gefährdet sind Redaktionen, Agenturkunden mit externen Textern und Websites, auf denen sich Besucher selbst anmelden und eine Rolle über Mitwirkende erhalten. Angriffsschritte und betroffene Stellen im Code nennen wir nicht.
Wie viele Installationen sind noch nicht gepatcht?
Das Änderungsprotokoll listet für 4.3.6 drei Korrekturen unter dem Stichwort „Improved code security enforcement“, nämlich bei Navigationslinks, bei Symbolen und Inhalten sowie bei Atomic-Elementen und Vorlagen. Welcher Eintrag zur CVE gehört, steht dort nicht.[3] Die Versionsstatistik von wordpress.org nennt am 12. November für 4.3 einen Anteil von 29,6 Prozent, für 4.4 von 18,4 Prozent. Auf den Zweigen 4.2 und 4.1 liefen zusammen 13,3 Prozent der Installationen, 38,8 Prozent sind unter „andere“ zusammengefasst.[2] Rechnerisch sind das bei mehr als 10 Millionen Installationen mehr als 1,3 Millionen auf den Zweigen 4.1 und 4.2, die sicher vor 4.3.6 liegen. Im Zweig 4.3 mischen sich gepatchte und ungepatchte Stände, der Anteil bleibt offen.
Elementor ist nicht zum ersten Mal Thema. Im Oktober meldeten wir eine Lücke, bei der präparierte SVG-Grafiken Skripte einschleusten. Auch bei Optimole und TranslatePress ging es in dieser Woche um Skripte, die im Browser des Betrachters laufen. Gemeinsam ist den Fällen, dass ein Plugin Text aus einer Quelle mit niedrigen Rechten in eine Seite schreibt, ohne ihn für diesen Ort sauber zu entschärfen. Der Weg zum Administrator führt dann über die Freigabe.
Wer fremde Entwürfe freigibt, öffnet sie zuerst. Dort sollte kein fremder Code mitlaufen.
Michael Dobler, Herausgeber Dr. Web
Der Ablauf bis heute
| Datum | Ereignis | Quelle |
|---|---|---|
| 2. November | Version 4.3.6 erscheint | wordpress.org |
| 9. November | WPScan veröffentlicht den Eintrag, Entdecker Hung Bach Ngoc | WPScan |
| 9. November | Version 4.4.0 erscheint als aktuelle Version | wordpress.org |
| 11. November | NVD führt CVE-2026-104718 | NVD |
| 23. November | Prüfcode wird öffentlich | WPScan |
Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt. Betroffen ist, wer Mitwirkende auf der Website hat und eine Version vor 4.3.6 einsetzt.
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Elementor in Version 4.3.6 oder neuer ein, aktuell ist 4.4.0. Prüfen Sie, ob automatische Updates für das Plugin aktiv sind.
- Rollen prüfen: Sehen Sie nach, wer die Rolle Mitwirkender hat, und löschen Sie Konten, die Sie nicht kennen. Prüfen Sie auch, ob neue Anmeldungen automatisch diese Rolle erhalten.
- Entwürfe zurückstellen: Bis das Update läuft, sollten Administratoren keine fremden Entwürfe mit Elementor-Elementen öffnen.
- Konten kontrollieren: Suchen Sie nach Administratoren, die Sie nicht angelegt haben, und nach Beiträgen, die Sie nicht kennen.
- Meldepflicht klären: Wurde ein Konto übernommen und waren personenbezogene Daten erreichbar, prüfen Sie die Meldung binnen 72 Stunden (Art. 33 DSGVO).[5]
Agenturen mit vielen Kundenwebsites aktualisieren zuerst die Seiten mit mehreren Autoren. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, Managed-Hoster mit eigener Firewall nennt der WordPress-Hosting-Vergleich.
FAQ: Sicherheitslücke bei Elementor
Welche Elementor-Version schließt die Sicherheitslücke?
Version 4.3.6 vom 2. November schließt die Lücke laut WPScan, betroffen sind alle Versionen davor. Aktuell ist 4.4.0 vom 9. November. Das Änderungsprotokoll nennt die CVE nicht, es spricht allgemein von verbesserter Sicherheitsprüfung.
Kann jeder Besucher die Elementor-Lücke ausnutzen?
Nein. Laut WPScan braucht der Angreifer ein Konto mit mindestens der Rolle Mitwirkender. Websites ohne Mitwirkende und ohne offene Anmeldung sind kaum betroffen. Das Skript läuft dann im Browser dessen, der den Inhalt aufruft.
Wird Elementor schon angegriffen?
Bis zum 12. November 2026 liegen keine Berichte über Angriffe vor, der Eintrag steht nicht im CISA-Katalog ausgenutzter Schwachstellen. WPScan veröffentlicht den Prüfcode am 23. November, das Update sollte vorher laufen.
Warum bewertet WPScan die Lücke nur als mittel?
Der Wert berücksichtigt, dass ein Konto nötig ist. Läuft das Skript im Browser eines Administrators, kann der mögliche Schaden aber größer sein, als die Zahl vermuten lässt.
Quellen
5 Quellen anzeigenQuellen ausblenden
- WPScanCVE-2026-104718, veröffentlicht am 9. November 2026, abgerufen am 12. November 2026
- wordpress.orgElementor, aktive Installationen und Versionsverteilung, abgerufen am 12. November 2026
- wordpress.orgÄnderungsprotokoll von Elementor (Version 4.3.6 vom 2. November 2026), abgerufen am 12. November 2026
- NVDCVE-2026-104718, aufgenommen am 11. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Elementor mit über 10 Millionen Installationen: Präparierte SVG-Grafiken schleusen Skripte ein
- Schwere Sicherheitslücke bei Optimole
- Schwere Sicherheitslücke bei TranslatePress
- Essential Addons for Elementor mit über 1 Million Installationen: Sicherheitslücke macht Fremde zu Redakteuren
- Schwere Sicherheitslücke bei Unlimited Elements
- Unsichere Login-Daten: Der häufigste WordPress-Fehler und wie Sie ihn vermeiden
