Formidable Forms: Sicherheitslücke lässt Nutzer fremde Plugins installieren

Im Formular-Plugin Formidable Forms konnten Nutzer ohne Administratorrechte beliebige Plugins auf dem Server installieren, also auch Schadcode. Betroffen sind Websites, die nur die kostenlose Version einsetzen und Formularrechte an weitere Rollen vergeben haben. Behoben ist die Lücke in Version 7.0 vom 16. Oktober, die laut wordpress.org bislang auf weniger als der Hälfte der mehr als 300.000 Installationen läuft.

Gefunden hat die Lücke der Sicherheitsforscher Supakiad S. Der Sicherheitsanbieter Wordfence informierte den Hersteller am 11. September und legte die Lücke am 29. Oktober offen. Sie trägt die Kennung CVE-2026-89435.^[1] Wordfence bewertet sie nach CVSS 3.1 mit 8,8 von 10 Punkten, also hoch. Betroffen sind alle Versionen bis einschließlich 6.35.^[2] Formidable Forms stammt vom Hersteller Strategy11 und läuft laut wordpress.org auf mehr als 300.000 Websites (Stand 30. Oktober 2026).^[3]

Wie funktioniert die Lücke?

Formidable Forms kann seine Erweiterungen selbst nachladen. Damit das nicht jeder auslösen kann, verlangt das Plugin einen geheimen Schlüssel, den es für jede Website erzeugt. Laut Wordfence prüfte das Plugin beim Installieren nur diesen Schlüssel, nicht aber, ob der angemeldete Nutzer überhaupt Plugins installieren darf. Den Schlüssel konnte jeder Nutzer abrufen, der in Formidable die Formularliste sehen darf. Zusätzlich sollte das Plugin nur Pakete von den Servern des Herstellers annehmen, prüfte die Download-Adresse aber zu ungenau. So ließ sich ein beliebiges Paket unterschieben.^[2]

Ein fremdes Plugin auf dem Server bedeutet volle Kontrolle: Es kann Administratorkonten anlegen und die Daten aus den Formularen auslesen. Laut Wordfence genügt für den Angriff ein Konto ab der Rolle Abonnent. Das Recht, die Formularliste zu sehen, haben nach dem Quellcode des Plugins standardmäßig nur Administratoren. In den Einstellungen von Formidable lässt es sich aber an jede andere Rolle vergeben, etwa an Redakteure, die Formulareinträge bearbeiten.^[4] Auf Websites mit installiertem Formidable Pro greift der Angriff laut Wordfence nicht.^[2]

Wie weit ist die Lücke schon ausgenutzt?

Die Lücke ist öffentlich bekannt und behoben. Angriffe und veröffentlichter Angriffscode sind bis zum 30. Oktober nicht bekannt. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Zwischen der Meldung an den Hersteller und der Korrektur lagen 35 Tage. Strategy11 lieferte sie nicht in einem eigenen Sicherheitsupdate aus, sondern mit der neuen Hauptversion 7.0. Das Änderungsprotokoll nennt dort zwei Sicherheitskorrekturen neben 23 neuen Funktionen, darunter eine Schnittstelle, über die KI-Assistenten Formulare verwalten.^[3]

Wie viele Websites haben schon aktualisiert?

Am 30. Oktober liefen laut wordpress.org 46,2 Prozent der Installationen auf der Versionsreihe 7.0, die bisher nur die abgesicherte Version 7.0 umfasst. 8,6 Prozent nutzten noch Version 6.35, die übrigen 45,2 Prozent ältere Versionen.^[5] Rechnerisch liefen damit 53,8 Prozent von mehr als 300.000 Installationen, also mehr als 160.000 Websites, auf einer anfälligen Version. Angreifbar ist davon nur der Teil ohne Formidable Pro und mit vergebenen Formularrechten. Wie groß dieser Teil ist, lässt sich nicht beziffern.

Eine mögliche Erklärung für das langsame Update ist der Sprung auf eine neue Hauptversion. Agenturen und Betreiber spielen Hauptversionen oft erst nach eigenen Tests ein, weil neue Funktionen bestehende Formulare verändern können. Sind automatische Updates nur für Wartungsversionen freigegeben, kommt die Korrektur nicht von allein. Die US-Datenbank NVD führt für die kostenlose Grundversion in diesem Jahr acht Schwachstellen, darunter eine weitere, die erst Version 7.0 schließt: Angreifer konnten ohne Anmeldung die Prüfung eingehender Zahlungen für 24 Stunden lahmlegen.^[6][7] Andere Formular-Plugins mussten im Oktober ebenfalls nachbessern, darunter Gravity Forms und Forminator.

Was sollten Website-Betreiber jetzt tun?

• Aktualisieren: Spielen Sie Formidable Forms 7.0 ein. Die installierte Version steht in der Plugin-Liste, dort lassen sich automatische Updates für das Plugin einschalten.
• Formularrechte prüfen: In den Einstellungen von Formidable legen Administratoren fest, welche Rollen die Formulare sehen dürfen. Lässt sich das Update nicht sofort einspielen, beschränken Sie das Recht vorerst auf Administratoren.
• Plugin-Liste kontrollieren: Hatten weitere Rollen Formularrechte, suchen Sie nach Plugins, die niemand bewusst installiert hat, und nach unbekannten Administratorkonten.
• Meldepflicht klären: Formulare sammeln oft personenbezogene Daten. Gibt es Anzeichen eines Einbruchs, ist zu prüfen, ob eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nach Kenntnis nötig ist (Art. 33 DSGVO).^[8]

Agenturen mit vielen Kundenwebsites sollten zuerst Installationen ohne Formidable Pro und mit Redaktionsrollen in den Formularrechten suchen. Grundregeln für die Absicherung fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.

FAQ: Formidable Forms: Sicherheitslücke lässt Nutzer fremde Plugins installieren

Quellen

Mehr Newshunger?

• Gravity Forms: Kritische Sicherheitslücke trifft Formulare, die Beiträge anlegen
• Everest Forms mit über 90.000 Installationen: Sicherheitslücke legt Zugangsdaten offen, erst der zweite Fix hilft
• MW WP Form mit über 200.000 Installationen: Sicherheitslücke legt gespeicherte Anfragen offen
• Enable Media Replace: Behobene Sicherheitslücke stand über drei Jahre wieder offen