Enable Media Replace: Behobene Sicherheitslücke stand über drei Jahre wieder offen

Im Plugin Enable Media Replace, mit dem Betreiber Bilder und Dateien in der Mediathek austauschen, stand seit September 2023 wieder eine Sicherheitslücke offen, die der Hersteller acht Tage vorher geschlossen hatte. Fremde können darüber ohne Anmeldung präparierte PHP-Objekte hinterlegen, die beim nächsten Austausch einer Datei wirksam werden. Version 4.2.3 vom 26. Oktober schließt die Lücke auf den mehr als 600.000 Websites mit dem Plugin.

Gefunden hat die Lücke der Sicherheitsforscher Jakub Herman. Die Sicherheitsdatenbank WPScan veröffentlichte ihren Eintrag am 28. Oktober, seit dem 30. Oktober trägt die Lücke die Kennung CVE-2026-114422.^[1] WPScan bewertet sie nach CVSS 3.1 mit 7,5 von 10 Punkten, also hoch. Betroffen sind die Versionen 4.1.4 bis 4.2.2.^[2] Enable Media Replace stammt vom Bildoptimierungsdienst ShortPixel und läuft laut wordpress.org auf mehr als 600.000 Websites (Stand 30. Oktober 2026).^[3]

Wie kam die alte Lücke zurück?

2023 meldete der Sicherheitsforscher Jonatas Souza Villa Flor über WPScan eine Lücke in der Funktion, die den Hintergrund eines Bildes entfernt. Das Plugin verwandelte dort übermittelte Daten ungeprüft zurück in PHP-Objekte. Fachleute nennen diesen Schritt Deserialisierung. Für einen Angriff brauchte es damals ein Konto mit Autorenrechten.^[4] Version 4.1.3 vom 14. September 2023 behob den Fehler. Acht Tage später erschien Version 4.1.4 mit einem einzigen Eintrag im Änderungsprotokoll: Die letzte Sicherheitskorrektur habe den Austausch von Dateien gestört, die mit dem Seitenbaukasten Beaver Builder eingebunden waren.^[3]

Mit dieser Version kehrte die Schwachstelle laut WPScan zurück, diesmal an anderer Stelle.^[1] Nach dem Austausch einer Datei durchsucht Enable Media Replace die Datenbank und passt alle Verweise auf die alte Datei an. Dabei wandelt es gespeicherte Metadaten der Dateien zurück in PHP-Objekte und prüft nicht, welche Art von Objekt dabei entsteht. Ein Konto braucht der Angreifer diesmal nicht: Laut WPScan können Fremde die präparierten Daten ohne Anmeldung hinterlegen. Wirksam werden sie, sobald eine Redakteurin oder ein Autor eine Datei auf gewohnte Weise austauscht. Dann kann das eingeschleuste Objekt PHP- oder HTML-Dateien einbinden, die schon auf dem Server liegen. Liegt dort eine Datei, deren Inhalt der Angreifer beeinflussen kann, reicht das bis zur Ausführung eigenen Codes.

Warum stuft WPScan die Lücke nicht als kritisch ein?

Der Angriff hängt an zwei Bedingungen, die der Angreifer nicht selbst in der Hand hat. Jemand aus der Redaktion muss eine Datei austauschen, und für die Codeausführung muss eine passende Datei auf dem Server liegen. Deshalb stuft WPScan die Komplexität des Angriffs als hoch ein und setzt voraus, dass ein Nutzer mitwirkt. Ohne diese beiden Einschränkungen läge eine Lücke ohne Anmeldung mit vollem Zugriff bei 9,8 Punkten.^[2] Die Lücke ist öffentlich bekannt und behoben, ausgenutzt wird sie nach heutigem Stand nicht. Die US-Behörde CISA führt sie nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Angriffscode will WPScan am 28. November veröffentlichen, um Betreibern Zeit für das Update zu geben.^[1]

Wie viele Websites haben schon aktualisiert?

Genaue Zahlen gibt es nicht, die Statistik von wordpress.org zeigt nur Versionsreihen. Am 30. Oktober liefen laut wordpress.org 67,4 Prozent der Installationen auf der Versionsreihe 4.2, zu der neben der abgesicherten Version 4.2.3 auch die anfälligen Versionen 4.2.0 bis 4.2.2 gehören. Weitere 24,5 Prozent nutzten noch die Versionsreihe 4.1, deren letzte Version im April 2026 erschien.^[5] Vom 26. bis zum 29. Oktober wurde das Plugin laut wordpress.org rund 286.000-mal heruntergeladen, davon 194.328-mal allein am 27. Oktober. Selbst wenn jeder Download eine aktualisierte Website wäre, hätte damit rechnerisch weniger als die Hälfte der mehr als 600.000 Installationen die neue Version.

Version 4.2.3 schließt drei weitere Lücken. Eine davon meldete der Sicherheitsforscher Duy Tran über Wordfence: Konten mit Autorenrechten konnten beim Austausch einer Datei auch fremde Beiträge verändern, die auf diese Datei verweisen, darunter Beiträge von Administratoren (CVSS 3.1: 4,3, vergeben von Wordfence). Wordfence hatte den Hersteller am 4. September informiert.^[6] Zwei weitere Fehler beim Hochladen und Verschieben von Dateien meldete Adam Kahlon über WPScan.^[3] Die US-Datenbank NVD führt für Enable Media Replace seit 2022 elf Schwachstellen, fünf davon aus diesem Jahr.^[7] Eingeschleuste PHP-Objekte machten im Oktober auch Gravity Forms und Rank Math angreifbar.

Was sollten Website-Betreiber jetzt tun?

• Aktualisieren: Spielen Sie Enable Media Replace 4.2.3 ein. Die installierte Version steht in der Plugin-Liste, dort lassen sich auch automatische Updates für das Plugin einschalten.
• Bis zum Update keine Dateien austauschen: Die Lücke wird erst wirksam, wenn jemand über das Plugin eine Datei ersetzt. Viele Websites brauchen Enable Media Replace nur gelegentlich. Dann kann es deaktiviert bleiben, bis es gebraucht wird.
• Spuren suchen: Lief eine anfällige Version, und wurden seit September 2023 Dateien ausgetauscht, prüfen Sie die Benutzerliste auf unbekannte Administratorkonten und die Website-Dateien auf Änderungen.
• Meldepflicht klären: Gibt es Anzeichen, dass Unbefugte Code ausgeführt haben, ist zu prüfen, ob eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nach Kenntnis nötig ist (Art. 33 DSGVO).^[8]

Agenturen mit vielen Kundenwebsites sollten zuerst Installationen auf der Versionsreihe 4.1 suchen, denn dort fehlen seit April alle Korrekturen. Grundregeln für die Absicherung fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.

FAQ: Enable Media Replace: Behobene Sicherheitslücke stand über drei Jahre wieder offen

Quellen

Mehr Newshunger?

• Gravity Forms: Kritische Sicherheitslücke trifft Formulare, die Beiträge anlegen
• Prime Mover mit über 10.000 Installationen: kritische Sicherheitslücke beim Backup
• Rank Math mit über 4 Millionen Installationen: Schwere Sicherheitslücke öffnet Mitarbeiter-Konten den Server
• WordPress 7.1.4 schließt 22 Sicherheitslücken, eine davon im Update selbst