Ohne Konto konnten Angreifer Skriptcode in WordPress-Seiten schleusen, die das Plugin LiteSpeed Cache beschleunigt. Zwei schwere Sicherheitslücken stecken in allen Versionen vor 7.9.2. Eine davon greift bei aktiver Schriftart-Optimierung, die die vom Hersteller empfohlene Voreinstellung (Preset) „Advanced“ selbst einschaltet.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenLiteSpeed Technologies veröffentlichte Version 7.9.2 am 20. Oktober, einen Tag später machte die Schwachstellen-Datenbank WPScan die Lücken CVE-2026-113499 und CVE-2026-113500 öffentlich.[1] Gefunden hat beide Fehler der Sicherheitsforscher Jakub Herman. LiteSpeed Cache hat laut wordpress.org mehr als 7 Millionen aktive Installationen (Stand 23. Oktober).[2]
Das Wichtigste in Kürze
- WPScan vergibt für beide Lücken nach CVSS 3.1 den Wert 7,5 (hoch), wegen der nötigen Einstellungen gilt der Angriff als aufwendig.
- Als Einfallstor dient ein veröffentlichter Kommentar, der Angreifer braucht kein Konto.
- Eine dritte Lücke mit niedriger Einstufung erlaubte Nutzern mit der niedrigsten WordPress-Rolle Abonnent, Warnhinweise des Plugins auszublenden.
- Berichte über Angriffe gibt es bisher nicht, Beispielcode für einen Angriff will WPScan am 22. November veröffentlichen.
Wie gelangt der Skriptcode in die Seite?
LiteSpeed Cache optimiert ausgelieferte Seiten vor dem Speichern im Cache. Zwei dieser Routinen sollten nur Stylesheets bearbeiten: die Schriftart-Optimierung (Font Display Optimization) und das Umschreiben von CSS-Adressen für ein CDN. Laut WPScan griffen beide aber auf das gesamte HTML zu und entfernten dabei ein Anführungszeichen, das ein Attribut abschließt.[1] Angaben aus einem veröffentlichten Kommentar rutschten so als neues Attribut in die Seite und liefen als Skript im Browser jedes Besuchers.
Im Browser eines angemeldeten Administrators läuft der Code mit dessen Rechten und kann etwa ein neues Admin-Konto anlegen.[3] Ab Werk bleiben beide Optionen aus. Die Presets „Advanced“, „Aggressive“ und „Extreme“ schalten die Schriftart-Optimierung jedoch ein; „Advanced“ führt das Plugin als Empfehlung.[4] Version 7.9.2 wendet die Schriftart-Optimierung nur noch auf Style-Blöcke an. Dazu sichert das Update fast alle Bereiche des Plugins zusätzlich ab.[5]
Warum fällt ein einzelnes Anführungszeichen so schwer ins Gewicht?
Plugins, die eine fertige Seite nachträglich per Suchmuster umbauen, verändern auch Text aus fremder Hand. Entfernt der Umbau ein einziges Anführungszeichen, wird aus harmlosem Text ein ausführbares Attribut. Herman hat innerhalb von drei Tagen in fünf Plugins Lücken offengelegt, über die Fremde ohne Konto Skriptcode speichern konnten: Weglot, PixelYourSite, WebP Express, Otter Blocks und LiteSpeed Cache.[6] Kommentare waren zuvor auch bei W3 Total Cache das Einfallstor.
Bei LiteSpeed Cache zählt die Verbreitung doppelt. Die im August 2024 geschlossene Lücke CVE-2024-28000, über die Fremde Admin-Rechte erlangen konnten, war laut Wordfence im zweiten Quartal 2026 noch immer das häufigste Angriffsziel: Die Firewall wehrte rund 49,7 Millionen Angriffsversuche auf diese Lücke ab.[7] Auf Versionszweigen vor 7.9 liefen am 23. Oktober 31,8 Prozent der Installationen, rechnerisch mehr als 2,2 Millionen Websites.[2] Auch die Fassungen 7.9.0 und 7.9.1 enthalten die Lücken.
Vom alten Angriffsziel zum neuen Patch
Betreiber mit der empfohlenen Voreinstellung von LiteSpeed Cache sollten heute aktualisieren und danach den Cache leeren.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Bringen Sie LiteSpeed Cache auf Version 7.9.2. Lässt sich das Update nicht sofort einspielen, schalten Sie die Schriftart-Optimierung und das Umschreiben der CSS-Adressen für das CDN bis dahin ab.
- Cache leeren: Leeren Sie nach dem Update den gesamten Cache, auch beim Hoster und im CDN, damit keine präparierte Kopie ausgeliefert wird.
- Kommentare und Konten prüfen: Suchen Sie nach freigegebenen Kommentaren mit auffälligen Namen oder Code-Fragmenten und nach unbekannten Admin-Konten. Hatte ein Angreifer Zugriff auf Kundendaten, prüfen Sie die 72-Stunden-Meldepflicht nach Art. 33 DSGVO.[8]
- Warnhinweise ansehen: Nutzer mit der Rolle Abonnent konnten vor 7.9.2 unter bestimmten Einstellungen auch Warnungen des Plugins ausblenden, darunter jene vor öffentlich abrufbaren sensiblen Dateien.
Ein Patch liegt vor, im Katalog aktiv ausgenutzter Lücken der US-Cybersicherheitsbehörde CISA fehlen beide CVEs bisher. Agenturen mit vielen Kundenseiten sollten bis zum 22. November fertig sein, dann folgt der Beispielcode. Managed-Hoster übernehmen laut WordPress-Hosting-Vergleich in vielen Fällen auch Plugin-Updates.
FAQ: LiteSpeed Cache mit über 7 Millionen Installationen: zwei schwere Sicherheitslücken
Welche Version von LiteSpeed Cache ist sicher?
Die Sicherheitslücken CVE-2026-113499 und CVE-2026-113500 schließt Version 7.9.2 vom 20. Oktober 2026. Sie behebt auch eine dritte Lücke mit niedriger Einstufung. Die installierte Version zeigt die Plugin-Übersicht im WordPress-Dashboard.
Ist meine Website ohne Schriftart-Optimierung betroffen?
Laut WPScan funktioniert der Angriff nur mit eingeschalteter Schriftart-Optimierung oder wenn das Plugin CSS-Adressen für ein CDN umschreibt. Ab Werk sind beide aus, die Presets „Advanced“, „Aggressive“ und „Extreme“ schalten die Schriftart-Optimierung ein. Das Update gehört trotzdem auf jede Website.
Was ist persistentes Cross-Site-Scripting?
Beim persistenten Cross-Site-Scripting legt ein Angreifer Skriptcode in Inhalten ab, die eine Website speichert, etwa in Kommentaren. Die Website liefert den Code später an andere Besucher aus, deren Browser ihn wie eigenen Code der Seite ausführt.
Quellen
8 Quellen anzeigenQuellen ausblenden
- WPScanLiteSpeed Cache < 7.9.2 – Unauthenticated Stored XSS via Font Display Optimization (CVE-2026-113500) und via CDN Inline CSS Rewriting (CVE-2026-113499)
- WordPress.orgLiteSpeed Cache, aktive Installationen und Versionsstatistik, abgerufen am 23. Oktober 2026
- OWASPCross Site Scripting (XSS)
- WordPress.org Plugin-Verzeichnis: Download-Archive 7.9.1 und 7.9.2 (Standardwerte, Presets, Optimierungscode), eigener Vergleich am 23. Oktober 2026
- WordPress.orgLiteSpeed Cache, Änderungsprotokoll Version 7.9.2
- WPScanWeglot < 6.4.3 (19. Oktober 2026), PixelYourSite (20. Oktober 2026), WebP Express < 0.25.16 (20. Oktober 2026), Otter Blocks < 3.2.8
- WordfenceQuarterly WordPress Threat Intelligence Report Q2 2026, 29. September 2026; Analyse zu CVE-2024-28000
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- WebP Express mit über 300.000 Installationen: schwere Sicherheitslücke beim HTML-Umbau
- PixelYourSite mit über 400.000 Installationen: Der Seiten-Cache verteilt eingeschleusten Code
- Duplicator mit über 1 Million Installationen: Ein Kommentar genügt für den Angriff beim Umzug
- W3 Total Cache: dritte Kommentar-Lücke in sieben Wochen bei über 900.000 Sites
- CleanTalk mit über 200.000 Installationen: fünfte Lücke ohne Login seit Juni
- LiteSpeed-cPanel-Plugin: CVE-2026-48172 aktiv ausgenutzt
