Im Mai 2026 schleusten Angreifer über eine Lücke im WordPress-Plugin Funnel Builder Schadcode in WooCommerce-Shops ein, der Kartendaten im Bezahlformular mitlas, einen sogenannten Skimmer. Das Plugin des Herstellers FunnelKit läuft in mehr als 40.000 Shops und baut dort Bestellseiten und Verkaufstrichter. Version 3.15.0.3 schloss die Lücke binnen Tagen, im Juli folgte mit 3.15.0.6 die Korrektur einer weiteren Schwachstelle.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenEin Plugin, das direkt im Bestellabschluss sitzt, verwaltet die empfindlichsten Daten eines Shops. Der Vorfall zeigt deshalb exemplarisch, welche Prüfungen nach einer Sicherheitsmeldung anstehen und warum Shop-Betreiber die Pflege solcher Erweiterungen fest regeln sollten.
Das Wichtigste in Kürze
- Angreifer konnten ohne Anmeldung ein Skript in die Funnel-Builder-Einstellungen schreiben, das Kartendaten im Checkout mitlas.
- Alle Versionen vor 3.15.0.3 waren betroffen; FunnelKit verteilte die Korrektur auch über automatische Updates.
- Version 3.15.0.6 behebt zusätzlich die im Juli 2026 veröffentlichte Lücke CVE-2026-12978.
- Nach dem Update gehören die Einstellung „External Scripts“ und die Serverprotokolle auf den Prüfstand.
Wie funktionierte der Angriff auf Funnel Builder?
Entdeckt hat die Angriffswelle der niederländische Sicherheitsdienstleister Sansec, der sich auf Onlinehandel spezialisiert hat. Den Einstieg bot ein öffentlich erreichbarer Checkout-Endpunkt des Plugins. Ältere Versionen prüften dort weder die Rechte des Aufrufers noch, welche interne Funktion eine Anfrage ansteuert. Ein Angreifer ohne Konto konnte so eine Funktion aufrufen, die beliebige Werte in die globalen Plugin-Einstellungen schreibt.
Genutzt haben die Täter das Feld „External Scripts“. Was dort steht, liefert Funnel Builder auf jeder Checkout-Seite aus. Die eingeschleusten Einträge sahen aus wie gewöhnliche Snippets des Google Tag Managers und fielen neben echten Analyse-Tags kaum auf.
Sansec warnte ausdrücklich, dass Prüfer über solchen Code gern hinweglesen.
Eine öffentliche Checkout-Schnittstelle prüfte keine Rechte und nahm Anfragen ohne Anmeldung an.
Angreifer schrieben ein Skript in das Feld „External Scripts“ der globalen Plugin-Einstellungen.
Das Skript sah aus wie ein Eintrag des Google Tag Managers und lief auf jeder Checkout-Seite.
Über eine WebSocket-Verbindung lud das Skript einen Skimmer nach, der Kartennummer, Kartenprüfnummer und Rechnungsadresse mitlas.
Der eigentliche Schadcode kam nachgeladen. In mindestens einem dokumentierten Fall öffnete das Skript eine WebSocket-Verbindung zu einem Kontrollserver der Angreifer unter protect-wss[.]com und holte sich von dort einen Skimmer, der auf das Layout des jeweiligen Shops zugeschnitten war. Abgegriffen wurden Kartennummern, Kartenprüfnummern (CVV), Rechnungsadressen und weitere Angaben, die Kunden im Checkout eintippten.
Welche Versionen von Funnel Builder waren betroffen?
Verwundbar waren alle Versionen vor 3.15.0.3. Eine CVE-Kennung hatte die Lücke zum Zeitpunkt der Meldungen nicht, wodurch sie in Warndiensten, die nach CVE-Nummern filtern, zunächst fehlte.
FunnelKit lieferte die Korrektur nach eigener Darstellung binnen 36 Stunden nach dem ersten Hinweis, portierte sie auf ältere Versionszweige und ließ betroffene Installationen gemeinsam mit WordPress.org automatisch aktualisieren.
Den Schaden stuft der Hersteller als gering ein: In einer Stichprobe von mehr als 1.300 Websites, die FunnelKit nach der Offenlegung neun Tage lang beobachtete, wiesen drei Anzeichen eines Befalls auf. Zusätzlich sperrte das Unternehmen bekannte Domains der Angreifer auf DNS-Ebene.
Ende Mai meldete The Hacker News, die Angriffe hätten aufgehört.
Die Schwachstellendatenbank WPScan führt für Funnel Builder mehrere frühere Einträge, darunter eine SQL-Injection, die ein Administratorkonto voraussetzte (behoben in 3.10.2). Im Juli 2026 kam eine neue Lücke hinzu:
| Lücke | Art | behoben in | Schweregrad (CVSS 3.1) |
|---|---|---|---|
| ohne Kennung (Mai 2026) | Einstellungen ohne Anmeldung überschreibbar, aktiv ausgenutzt | 3.15.0.3 | kritisch laut Berichten |
| CVE-2025-10567 (Oktober 2025) | Reflected XSS in Checkout-Aktionen gegen angemeldete Nutzer | 3.12.0.1 | 6,3 |
| CVE-2026-12978 (Juli 2026) | Reflected XSS ohne Anmeldung, nur bei aktivem Divi-Builder | 3.15.0.6 | 7,1 |
Die Skimming-Lücke vom Mai war die erste dieser Reihe, bei der Angriffe auf echte Shops belegt sind.
Was sollten Shop-Betreiber jetzt tun?
Das Update allein bereinigt einen bereits befallenen Shop nicht, denn ein eingeschleustes Skript bleibt in den Einstellungen stehen. Aus Sicht der Redaktion gehören vier Schritte in diese Reihenfolge:
- Aktualisieren: Funnel Builder im WordPress-Backend auf mindestens 3.15.0.6 bringen. Diese Version enthält die Korrektur vom Mai und die vom Juli.
- Einstellungen sichten: Unter Einstellungen, Checkout, External Scripts jeden Eintrag einem bekannten Dienst zuordnen. Ein Tag-Manager-Snippet, das niemand im Team angelegt hat, fliegt raus.
- Protokolle prüfen: Server- und Browserprotokolle der Wochen vor dem Update nach Aufrufen der Checkout-Seite mit parallelen WebSocket-Verbindungen zu unbekannten Domains durchsuchen.
- Zugänge erneuern: Bei einem Befund alle Admin-Passwörter ändern, die Salts in der
wp-config.phpneu erzeugen und die Einstellungstabelle der Datenbank (wp_options) nach Einträgen mit fremden Domains durchsuchen.
Abgeflossene Kartendaten sind personenbezogene Daten. Nach Art. 33 DSGVO meldet der Shop-Betreiber eine solche Datenpanne binnen 72 Stunden der zuständigen Aufsichtsbehörde, sofern ein Risiko für die Betroffenen besteht.
Den Zahlungsdienstleister informieren Sie im selben Zug, damit er betroffene Karten sperren lassen kann.
Diese Version schließt die Skimming-Lücke und die spätere Lücke CVE-2026-12978.
Unter Einstellungen, Checkout, External Scripts jeden Eintrag zuordnen und fremde Skripte löschen.
Server- und Browserprotokolle auf WebSocket-Verbindungen zu unbekannten Domains durchsuchen.
Bei einem Befund Admin-Passwörter ändern, Salts in der wp-config.php neu erzeugen und den Zahlungsdienstleister informieren.
Ein Plugin im Checkout braucht eine feste Zuständigkeit, die Sicherheitsmeldungen am selben Tag liest und Updates sofort einspielt. Fehlt im eigenen Team die Zeit dafür, lässt sich die Pflege des Shops per Wartungsvertrag an einen spezialisierten Dienstleister abgeben; welche Anbieter dafür infrage kommen und was eine solche Betreuung kostet, ordnet der Vergleich der WooCommerce-Agenturen ein.
Ein Plugin im Checkout gehört zur Kasse. Sicherheitsupdates dafür spielen Sie am Tag der Meldung ein und warten nicht auf den nächsten Wartungstermin.
Markus Seyfferth, Chefredakteur Dr. Web
Was sagt der Vorfall über die Sicherheit von WordPress-Plugins?
Im selben Monat traf eine Lücke (CVE-2026-8181) das Statistik-Plugin Burst Statistics mit mehr als 200.000 Installationen: Angreifer, die den Benutzernamen eines Administrators kannten, konnten sich mit einem beliebigen Passwort als dieser Administrator ausgeben. Der Sicherheitsanbieter Wordfence fand den Fehler am 8. Mai, der Hersteller lieferte am 12. Mai die Version 3.4.2. Laut Bitdefender blockierte Wordfence binnen 24 Stunden mehr als 4.000 Angriffe auf diese Lücke (CVSS 3.1: 9,8).
Beiden Fällen gemeinsam ist der Fehlertyp: Jeweils prüfte das Plugin nicht sauber, wer eine Aktion auslösen darf.
Solche Lücken in der Rechteprüfung lassen sich mit wenigen präparierten Anfragen automatisiert ausnutzen, ein ausgefeilter Exploit ist dafür nicht nötig.
Für Betreiber mehrerer WordPress-Websites lohnt sich ein wöchentlicher, automatisierter Abgleich der installierten Plugin-Versionen mit einer Schwachstellendatenbank. Eine solide Hosting-Umgebung mit aktiver Sicherheitsüberwachung senkt das Risiko zusätzlich; der WordPress-Hosting-Vergleich gibt eine Übersicht der Anbieter im deutschsprachigen Raum mit automatisierten Plugin-Updates und Malware-Scans.
Glossar: 6 wichtige Fachbegriffe zum Funnel-Builder-Vorfall
Checkout
Der Checkout ist der Bestellabschluss eines Onlineshops mit Adresseingabe, Zahlart und Kaufbestätigung. Weil Kunden dort Zahlungsdaten eintippen, richten sich Skimmer genau auf diese Seiten.
CVE-Kennung
Die CVE-Kennung (Common Vulnerabilities and Exposures) ist eine weltweit eindeutige Nummer für eine bekannte Sicherheitslücke. Fehlt diese Kennung, taucht die Lücke in vielen Warndiensten nicht auf, die nach CVE-Nummern filtern.
Kontrollserver
Der Kontrollserver (Command-and-Control-Server, kurz C2-Server) ist der Rechner, von dem Angreifer Schadcode nachladen und gestohlene Daten einsammeln. Im Funnel-Builder-Fall lag der Kontrollserver unter der Domain protect-wss[.]com.
Reflected Cross-Site-Scripting
Reflected Cross-Site-Scripting (XSS) bezeichnet eine Lücke, bei der eine Website eingeschleusten Code aus einem präparierten Link ungeprüft zurückgibt. Der Code läuft dann im Browser des Opfers, das den Link öffnet, etwa eines angemeldeten Administrators.
Salts
Salts sind Zufallswerte in der Datei wp-config.php, mit denen WordPress Anmelde-Cookies absichert. Neue Salts machen alle bestehenden Sitzungen ungültig und werfen damit auch eingeloggte Angreifer hinaus.
Skimming
Skimming heißt im Onlinehandel, dass Schadcode im Bezahlformular die eingegebenen Kartendaten mitliest und an die Täter weiterleitet. Der Begriff stammt von präparierten Kartenlesern an Geldautomaten.
FAQ: Funnel Builder und die Skimming-Welle gegen WooCommerce-Shops
Welche Versionen von Funnel Builder sind sicher?
Die Skimming-Lücke vom Mai 2026 schließt Version 3.15.0.3. Empfehlenswert ist mindestens 3.15.0.6, weil diese Version zusätzlich die im Juli 2026 veröffentlichte Lücke CVE-2026-12978 behebt.
Wie erkenne ich, ob mein Shop betroffen war?
Prüfen Sie unter Einstellungen, Checkout, External Scripts jeden Eintrag. Ein Tag-Manager-Snippet, das niemand im Team angelegt hat, ist ein deutliches Warnzeichen. Ergänzend zeigen Server- und Browserprotokolle, ob die Checkout-Seite WebSocket-Verbindungen zu unbekannten Domains aufgebaut hat.
Welche Daten haben die Angreifer abgegriffen?
Der Skimmer las alles mit, was Kunden im Checkout eintippten: Kartennummern, Kartenprüfnummern (CVV), Rechnungsadressen und weitere persönliche Angaben. In einer Stichprobe von mehr als 1.300 Websites wiesen laut FunnelKit drei Shops Anzeichen eines Befalls auf.
Muss ich einen Vorfall der Datenschutzbehörde melden?
Sobald Kartendaten abgeflossen sind, liegt eine Verletzung des Schutzes personenbezogener Daten vor. Nach Art. 33 DSGVO melden Sie diese binnen 72 Stunden der zuständigen Aufsichtsbehörde, sofern ein Risiko für die Betroffenen besteht. Informieren Sie zusätzlich Ihren Zahlungsdienstleister.
Reicht das automatische Update von WordPress.org aus?
Das automatische Update schließt die Lücke, entfernt aber kein bereits eingeschleustes Skript. Ein Blick in die Einstellung External Scripts gehört deshalb in jedem Fall dazu, auch wenn der Shop die neue Version selbstständig installiert hat.
Quellen
7 Quellen anzeigenQuellen ausblendenabgerufen am 18.10.2026
- The Hacker NewsFunnel Builder Flaw Under Active Exploitation (16.05.2026, aktualisiert 31.05.2026)
- BleepingComputerFunnel Builder WordPress plugin bug exploited to steal credit cards
- Security AffairsAttackers exploit Funnel Builder bug to inject e-skimmers into e-stores
- WPScanFunnelKit < 3.12.0.1: Reflected XSS (CVE-2025-10567)
- OpenCVECVE-2026-12978: FunnelKit < 3.15.0.6, Reflected XSS
- BitdefenderBurst Statistics flaw enables WordPress admin takeover (CVE-2026-8181)
- Datenschutz-GrundverordnungArt. 33 Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
