Ein beliebiges Konto beim Kurznachrichtendienst X genügte, um sich auf Websites mit dem Plugin Jupiter X Core als Administrator anzumelden. Voraussetzung war eine eingerichtete Anmeldung über X. Wordfence bewertet die am 27. Oktober veröffentlichte Sicherheitslücke mit 9,8 von 10 Punkten, laut wordpress.org lief am 28. Oktober aber nur rund ein Viertel der mehr als 70.000 Installationen mit der korrigierten Version 4.62.0.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenHand aufs Herz: Mit welchem X-Konto haben Sie die Anmeldung auf Ihrer Website verknüpft? In Jupiter X Core bis Version 4.61.0 landete jeder Besucher, der sich über X anmeldete, im WordPress-Konto des Inhabers dieses X-Kontos. Wordfence führt die Sicherheitslücke als CVE-2026-106013, entdeckt hat den Fehler ein Sicherheitsforscher mit dem Kürzel daroo.[1]
Das Wichtigste in Kürze
- Jupiter X Core bis 4.61.0 meldet Besucher der X-Anmeldung als Inhaber des hinterlegten X-Kontos an (CVSS 3.1: 9,8, vergeben von Wordfence).
- Betroffen sind nur Websites mit eingerichteter Anmeldung über X.
- Version 4.62.0 vom 22. Oktober behebt den Fehler.
- Angriffe sind bis zum 28. Oktober nicht bekannt.
Warum landet der Besucher im Konto des Betreibers?
Das Plugin fragte X mit dem Zugangsschlüssel des Betreibers nach der Identität des Besuchers. Jupiter X Core gehört zum Premium-Theme Jupiter X von Artbees und bringt Widgets für den Seitenbaukasten Elementor mit, darunter ein Anmeldeformular. Für die Anmeldung über X hinterlegt der Betreiber die Schlüssel einer eigenen X-App samt Zugangsschlüssel seines X-Kontos.[2]
Meldet sich ein Besucher über X an, stellt X der Website einen Schlüssel für das Konto dieses Besuchers aus. Bis Version 4.61.0 ließ das Plugin diesen Schlüssel liegen und fragte X mit dem gespeicherten Schlüssel des Betreibers, wem das Konto gehört. X lieferte folgerichtig das Profil des Betreibers. Das Plugin suchte den WordPress-Benutzer mit derselben E-Mail-Adresse, laut Wordfence meist den Administrator, und meldete den Besucher mit diesem Konto an.[1] Version 4.62.0 setzt vor der Abfrage den Schlüssel des Besuchers ein, wie der Quellcode zeigt.[2]
Warum scheitern Anmeldungen über fremde Dienste so oft?
Bei Anmeldungen über Facebook, Google oder X übernimmt eine Website die Identität aus der Antwort eines fremden Dienstes. Prüft der Code nicht, ob diese Antwort zu dem Besucher gehört, der die Anmeldung gestartet hat, entscheidet ein einzelner Fehler über das Administratorkonto. Im Mitglieder-Plugin Qode Membership des Themes Bridge unterblieb wegen eines Tippfehlers die Rückfrage bei Facebook. Dropbox akzeptierte im August die E-Mail-Angabe eines Lenovo-Logins als Nachweis.
Wordfence verzeichnet seit Januar 2025 mindestens elf Sicherheitslücken in Jupiter X Core, darunter im April 2025 eine ohne Anmeldung ausnutzbare (CVE-2025-2105).[1] Laut wordpress.org liefen am 28. Oktober nur 25,9 Prozent der Installationen auf dem Versionszweig 4.62, alle übrigen auf älteren Zweigen.[2]
Welche Versionen laufen noch?
Anteil an allen aktiven Installationen laut Versionsstatistik von wordpress.org. Angreifbar sind ältere Versionen nur mit eingerichteter Anmeldung über X.
Jupiter X Core fragte nach dem Besucher und glaubte der Antwort über den Betreiber. So wurde jeder Gast zum Administrator.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Bringen Sie Jupiter X Core auf Version 4.62.0 und prüfen Sie unter Plugins, ob automatische Updates aktiv sind.
- Übergangsweise abschalten: Lässt sich das Update nicht sofort einspielen, entfernen Sie die Anmeldung über X aus dem Formular und löschen Sie die X-Zugangsdaten in den Einstellungen von Jupiter X.
- Konten prüfen: Suchen Sie nach unbekannten Administratoren, neu installierten Plugins und geänderten Dateien.
- Datenschutz klären: Deutet etwas auf einen erfolgreichen Angriff hin, müssen Betreiber die Datenpanne meist binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33 DSGVO).[3]
Die US-Behörde CISA führt CVE-2026-106013 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen.[4] Agenturen können die gefährdeten Kundenwebsites schnell eingrenzen: Angreifbar sind nur Installationen, in deren Jupiter-X-Einstellungen X-Zugangsdaten stehen. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.
FAQ: Jupiter X Core mit über 70.000 Installationen: Kritische Sicherheitslücke öffnet Fremden das Administratorkonto
Was ist Jupiter X Core?
Jupiter X Core ist das Begleit-Plugin zum Premium-Theme Jupiter X von Artbees und liefert unter anderem Widgets für den Seitenbaukasten Elementor. Laut wordpress.org läuft das Plugin auf mehr als 70.000 Websites.
Welche Version von Jupiter X Core ist sicher?
Version 4.62.0 vom 22. Oktober 2026 schließt die Sicherheitslücke CVE-2026-106013. Betroffen sind alle Versionen bis einschließlich 4.61.0. Das Update kommt über das Plugin-Verzeichnis von wordpress.org.
Ist meine Website ohne Anmeldung über X betroffen?
Ohne eingetragene X-Zugangsdaten in den Einstellungen von Jupiter X lässt sich CVE-2026-106013 nicht ausnutzen. Das Update auf 4.62.0 bleibt trotzdem nötig, weil Version 4.62.0 zusätzlich die Sicherheitslücke CVE-2026-10511 im Anmeldeformular schließt.
Wird die Sicherheitslücke in Jupiter X Core schon ausgenutzt?
Bis zum 28. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-106013 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Seit Wordfence die Lücke am 27. Oktober beschrieben hat, kennen aber auch Angreifer die Details.
Woran erkenne ich, ob mein Administratorkonto übernommen wurde?
Hinweise sind unbekannte Administratoren, neu installierte Plugins, geänderte Dateien und Anmeldungen zu ungewohnten Zeiten im Protokoll eines Sicherheits-Plugins. Im Verdachtsfall ändern Sie die Passwörter, beenden alle Sitzungen und stellen die Website aus einer sauberen Sicherung wieder her.
Quellen
4 Quellen anzeigenQuellen ausblenden
- WordfenceJupiter X Core <= 4.61.0 – Unauthenticated Authentication Bypass via Twitter/X Social Login, veröffentlicht am 27. Oktober 2026, aktualisiert am 28. Oktober 2026, mit Liste früherer Sicherheitslücken; dazu NVD: CVE-2026-106013
- wordpress.orgJupiter X Core, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 28. Oktober 2026; Quellcode der Versionen 4.60.0 und 4.62.0 aus dem Plugin-Verzeichnis
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 28. Oktober 2026
Mehr Newshunger?
- Analytics Insights mit über 10.000 Installationen: schwere Sicherheitslücke über Google Analytics
- Bridge-Theme: Kritische Sicherheitslücke im Mitglieder-Plugin macht Fremde zu Administratoren
- Kirki mit über 500.000 Installationen: Schwere Sicherheitslücke macht Abonnenten zu Administratoren
- GeoDirectory mit über 10.000 Installationen: Abonnenten konnten Dateien vom Server löschen
- LatePoint mit über 100.000 Installationen: Fremde konnten Kundenkonten übernehmen
- Elementor mit über 10 Millionen Installationen: Präparierte SVG-Grafiken schleusen Skripte ein
