Ein einfaches Abonnentenkonto genügt, um Kirki-Websites bis Version 6.2.5 zu übernehmen: Angreifer überschreiben damit das Passwort eines Administrators. Version 6.3.0 schließt die Sicherheitslücke seit Anfang September, öffentlich bekannt ist sie erst seit dem 27. Oktober. Laut wordpress.org läuft ein Teil der mehr als 500.000 Installationen noch auf einer anfälligen Versionsreihe.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenFast acht Wochen lagen zwischen dem Update und der Warnung. Am 27. Oktober veröffentlichte die US-Schwachstellendatenbank NVD den Eintrag CVE-2026-75891, gemeldet vom Sicherheitsanbieter Wordfence.[2] Wordfence bewertet die Lücke nach CVSS 3.1 mit 8,8 von 10 Punkten und stuft sie damit als hoch ein.[3]
Das Wichtigste in Kürze
- In Kirki bis 6.2.5 genügte ein Abonnentenkonto, um das Passwort eines Administrators zu überschreiben (CVSS 3.1: 8,8, vergeben von Wordfence).
- Behoben ist die Lücke in Version 6.3.0, aktuell ist 6.4.0 vom 13. Oktober.
- Rund 8 Prozent der Installationen laufen laut wordpress.org noch auf der anfälligen Reihe 6.0.
- Angriffe sind bis zum 27. Oktober nicht bekannt.
Wie wird aus einem Abonnenten ein Administrator?
Mit der Reihe 6.0 machte der Hersteller Themeum aus Kirki einen Seitenbaukasten. Laut Wordfence fehlte in einer Funktion, die wiederverwendbare Bausteine lädt, die Prüfung der Benutzerrechte. Das Plugin wandelte dort Daten aus der Anfrage ungeprüft wieder in PHP-Objekte um (Deserialisierung). Über eine vorhandene Kette von Programmteilen ließ sich so das Passwort eines Administrators überschreiben.[3]
Hinter dieser Art von Angriff, der PHP-Objekt-Injektion, steckt die Funktion unserialize. Die Funktion baut aus gespeicherten Daten wieder Objekte der darin genannten Klassen. Bestimmte Methoden laufen dabei automatisch ab. Steuert ein Angreifer die Daten, verkettet er solche Methoden zu einer Aktion, die kein Entwickler vorgesehen hat. PHP kann die zulässigen Klassen seit Version 7.0 beschränken.[6] In Kirki 6.3.0 erreichen laut einem Kommentar im Quellcode nur noch Nutzer mit Bearbeitungsrechten den betroffenen Programmteil.[4]
Wie viele Kirki-Websites sind noch angreifbar?
Am 27. Oktober liefen laut wordpress.org 40,3 Prozent der Installationen auf den Reihen 6.3 und 6.4, die die Korrektur enthalten.[1] Die alten Reihen 5.1 und 3.1 mit zusammen 30 Prozent enthalten den Seitenbaukasten nicht. Nachweislich anfällig ist die Reihe 6.0 mit 8,1 Prozent, rechnerisch rund 40.000 der mehr als 500.000 Installationen. Für 21,6 Prozent weist wordpress.org keine Reihe aus, darunter können die ebenfalls anfälligen Reihen 6.1 und 6.2 fallen.
Im Juni ließ eine kritische Sicherheitslücke in Kirki Angreifer ohne Anmeldung fremde Konten übernehmen (CVE-2026-8206, CVSS 9,8).[5] Zwei weitere folgten im Oktober: eine im Registrierungsformular und eine, über die Angreifer Nutzerdaten auslesen konnten. CVE-2026-75891 ist die vierte Objekt-Injektion in Kirki seit Juli, die NVD führt zwei weitere bis Version 6.0.12 und eine im Vorlagen-Import bis 6.3.2.[10] Dieselbe Art von Sicherheitslücke traf zuletzt den Bezahlvorgang von LearnPress.
Auf welchen Reihen laufen die Installationen?
Kleinere Reihen wie die ebenfalls anfälligen 6.1 und 6.2 weist wordpress.org nicht einzeln aus. Auf der Reihe 6.3 schließt erst 6.4.0 eine weitere Lücke für Redakteurskonten.
Fast acht Wochen lang hatten Kirki-Betreiber einen Vorsprung, seit dem 27. Oktober kennen auch Angreifer die Sicherheitslücke.
Michael Dobler, Herausgeber Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Bringen Sie Kirki auf Version 6.4.0. Automatische Updates schalten Sie in WordPress für jedes Plugin einzeln ein.[7]
- Konten prüfen: Suchen Sie nach unbekannten Administratoren und setzen Sie im Zweifel alle Administrator-Passwörter neu.
- Registrierung schließen: Braucht Ihre Website keine offene Registrierung, schalten Sie sie ab und löschen verwaiste Abonnentenkonten.
- Datenschutz klären: Ein übernommenes Administratorkonto gibt Zugriff auf alle gespeicherten personenbezogenen Daten. Nach einer Übernahme müssen Betreiber die Datenpanne meist binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33 DSGVO).[8]
Die Lücke ist offengelegt und behoben. Die US-Behörde CISA führt CVE-2026-75891 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen.[9] Agenturen sollten zuerst Kundenwebsites auf der Reihe 6.0 aktualisieren. Die Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Viele Managed-Hoster spielen Plugin-Updates automatisch ein, einen Überblick gibt der WordPress-Hosting-Vergleich.
FAQ: Kirki mit über 500.000 Installationen: Schwere Sicherheitslücke macht Abonnenten zu Administratoren
Was ist Kirki?
Kirki ist ein kostenloses WordPress-Plugin von Themeum. Ursprünglich erweiterte das Plugin den Theme-Customizer, seit der Reihe 6.0 ist Kirki ein Seitenbaukasten mit eigenen Vorlagen und dynamischen Inhalten. wordpress.org zählt mehr als 500.000 aktive Installationen.
Welche Version von Kirki ist sicher?
Sicher ist Version 6.4.0 vom 13. Oktober, nach dem Stand vom 27. Oktober 2026 die aktuelle. CVE-2026-75891 betrifft alle Versionen bis 6.2.5 und ist seit 6.3.0 behoben, zwei weitere im Oktober bekannt gewordene Lücken schließt erst 6.4.0.
Wird die Sicherheitslücke in Kirki schon ausgenutzt?
Bis zum 27. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-75891 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Da die Lücke jetzt öffentlich ist, steigt das Risiko für Websites, deren Betreiber noch nicht aktualisiert haben.
Was ist eine PHP-Objekt-Injektion?
Bei einer Objekt-Injektion wandelt ein Programm Daten aus einer fremden Anfrage ungeprüft wieder in PHP-Objekte um. Beim Umwandeln laufen bestimmte Methoden automatisch ab. Ein Angreifer verkettet diese Methoden zu Aktionen, die kein Entwickler vorgesehen hat, etwa das Überschreiben eines Passworts.
Woran erkenne ich, ob meine Website übernommen wurde?
Prüfen Sie unter Benutzer, ob unbekannte Administratoren angelegt wurden, und fragen Sie im Team nach Passwortänderungen, die niemand veranlasst hat. Verdächtig sind auch neue Plugins und geänderte Dateien. Im Zweifel setzen Sie alle Administrator-Passwörter neu.
Quellen
10 Quellen anzeigenQuellen ausblenden
- WordPress.orgKirki, aktive Installationen und Versionsstatistik, abgerufen am 27. Oktober 2026
- NVDCVE-2026-75891, veröffentlicht am 27. Oktober 2026
- WordfenceThreat-Intelligence-Eintrag zu CVE-2026-75891 (Kirki bis 6.2.5), Bewertung nach CVSS 3.1 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H), übernommen aus dem NVD-Eintrag
- WordPress.org Plugin-VerzeichnisKirki, Änderungssatz 3677965, dazu Quellcode der Versionen 6.2.5 und 6.3.0, verglichen am 27. Oktober 2026
- NVDCVE-2026-8206, veröffentlicht am 2. Juni 2026
- PHP-Handbuchunserialize, Option allowed_classes
- WordPress.org DocumentationPlugins & Themes Auto-Updates
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 27. Oktober 2026
- NVDCVE-2026-57724 (veröffentlicht am 13. Juli 2026), CVE-2026-12720 (31. Juli 2026) und CVE-2026-104734
Mehr Newshunger?
- GeoDirectory mit über 10.000 Installationen: Abonnenten konnten Dateien vom Server löschen
- Download Monitor mit über 80.000 Installationen: schwere Sicherheitslücke über präparierte Links
- GiveWP: 33 Sicherheitslücken seit Juli im Spenden-Plugin mit über 100.000 Installationen
- Royal MCP: Schwere Sicherheitslücke macht Vorschau-Links zum Admin-Zugang
- Prime Mover mit über 10.000 Installationen: kritische Sicherheitslücke beim Backup
- CleanTalk mit über 200.000 Installationen: schwere Sicherheitslücke im Spam-Scan
