Bei WooCommerce-Shops mit LiteSpeed Cache konnte ein Besucher ohne Konto die Anschrift, die Telefonnummer und die Sitzungsdaten eines früheren Kunden aus dem Cache abrufen. Die betroffene Einstellung ist ab Werk aktiv, das Plugin läuft auf mehr als 7 Millionen Websites. Version 7.9.3 vom 3. November ist nicht betroffen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Wordfence hat am 4. November eine Sicherheitslücke im WordPress-Plugin LiteSpeed Cache öffentlich gemacht, betroffen sind alle Versionen bis einschließlich 7.9.1. Laut wordpress.org läuft das Plugin auf mehr als 7 Millionen aktiven Installationen. Wordfence bewertet CVE-2026-93389 nach CVSS 3.1 mit 8,2 von 10 Punkten, Stufe hoch. Ein Konto braucht der Angreifer nicht.[1][2]
Das Wichtigste in Kürze
- LiteSpeed Cache speicherte Warenkorb und Kasse von WooCommerce öffentlich, die Einstellung dafür ist ab Werk aktiv.
- Ein Besucher ohne Anmeldung konnte Name, Anschrift, E-Mail-Adresse, Telefonnummer, Warenkorb und Sitzungsdaten eines anderen Kunden lesen.
- Betroffen sind Versionen bis einschließlich 7.9.1, aktuell ist 7.9.3 vom 3. November.
- Der Eintrag nennt keine Angriffe, die US-Behörde CISA führt die Lücke nicht in ihrem Katalog ausgenutzter Schwachstellen.
Wie landet der Warenkorb eines Kunden im öffentlichen Cache?
Ein Cache-Plugin speichert fertige Antworten, damit der Server sie nicht neu berechnet. Das taugt nur für Inhalte, die für alle gleich sind. Laut CVE-Eintrag legte LiteSpeed Cache die Antworten von Warenkorb und Kasse als öffentliche Cache-Objekte ab und unterschied dabei weder nach dem Sitzungs-Token noch nach der WooCommerce-Sitzung.[1]
Jeder spätere Abruf ohne Cookie und ohne Token bekam deshalb die gespeicherte Antwort des Vorgängers, als Cache-Treffer. Laut Eintrag enthielt sie Name, Firma, Anschrift, E-Mail-Adresse und Telefonnummer, den Warenkorb mit Summen sowie Token und Sicherheitsschlüssel der Sitzung, mit denen sich Warenkorb und Kasse übernehmen lassen. An der Kasse kam der Bestellschlüssel hinzu.[1]
Voraussetzung ist die Zwischenspeicherung für REST-Anfragen, die laut Eintrag ab Werk eingeschaltet ist. Der Angreifer umgeht also keine Anmeldung, er ruft ab, was der Cache bereithält.[1]
Warum liefern Cache-Plugins immer wieder Persönliches aus?
Ein Cache sucht Antworten unter einem Schlüssel aus Adresse und Merkmalen wie Cookies. Stimmt der Schlüssel bei zwei Besuchern überein, bekommt der zweite die Antwort des ersten. Fehlt bei einer persönlichen Antwort ein Merkmal, das den Kunden bezeichnet, wird sie zur öffentlichen.[1]
Laut CVE-Eintrag erfuhr der Hersteller am 17. September von der Lücke, gemeldet vom Finder Santh. Wordfence machte sie am 4. November öffentlich, die Datenbank NVD führt den Eintrag seit dem 5. November. Version 7.9.2 erschien am 20. Oktober, Version 7.9.3 am 3. November. Das Änderungsprotokoll nennt keine CVE-ID, die Zuordnung ergibt sich aus dem Bereich bis 7.9.1.[1][2]
Laut Versionsstatistik von wordpress.org liefen am 5. November 70,4 Prozent der Installationen auf dem Zweig 7.9, der auch 7.9.0 und 7.9.1 enthält. Rund 16 Prozent nutzten die älteren Zweige 7.8 und 7.6.[2]
Die Meldung ist die dritte zu diesem Plugin binnen zwei Wochen, nach den Schriftart-Lücken vom 23. Oktober und dem Minifier-Fehler vom 31. Oktober, den ebenfalls Santh fand. Am 3. November folgte WP Fastest Cache, dessen Cache Zugangsdaten neuer Nutzer ablegte. Beide Fälle teilen das Muster: Eine Antwort für einen einzelnen Besucher landete im gemeinsamen Speicher.
Vom Hinweis bis zum Eintrag
Das Änderungsprotokoll nennt keine CVE-ID. Der CVE-Eintrag führt 7.9.1 als letzte betroffene Version.
Ein Cache beschleunigt den Shop, solange er Besucher auseinanderhält. Hier lieferte er die Daten des Vorgängers an den Nächsten aus.
Michael Dobler, Herausgeber Dr. Web
Was sollten Shop-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie LiteSpeed Cache 7.9.3 ein und schalten Sie automatische Updates für das Plugin ein.
- Übergangslösung: Lässt sich das Update nicht sofort einspielen, schalten Sie in den Cache-Einstellungen die Zwischenspeicherung für REST-Anfragen aus.
- Cache leeren: Löschen Sie nach dem Update den gesamten Cache, damit keine alten Antworten mit Kundendaten gespeichert bleiben.
- Protokolle prüfen: Suchen Sie im Zugriffsprotokoll des Servers nach auffällig vielen Abrufen der Warenkorb-Schnittstelle ohne Cookie.
Agenturen mit vielen Kunden-Shops filtern in ihren Update-Werkzeugen nach LiteSpeed Cache bis 7.9.1. Wurden Kundendaten abgerufen, prüfen Betreiber die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden nach Bekanntwerden gilt. Ob jemand die Lücke genutzt hat, zeigt nur das Zugriffsprotokoll. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Hoster, die Plugin-Updates selbst einspielen.
FAQ: Schwere Sicherheitslücke bei LiteSpeed Cache im Warenkorb
Welche Version von LiteSpeed Cache ist sicher?
Der CVE-Eintrag führt Version 7.9.1 als letzte betroffene Version. Aktuell ist Version 7.9.3 vom 3. November 2026. Prüfen Sie im Plugin-Bereich Ihres WordPress, welche Version läuft.
Braucht ein Angreifer ein Konto im Shop?
Nein. Laut CVE-Eintrag genügt der Abruf ohne Anmeldung, ohne Cookie und ohne Token. Voraussetzung ist die Zwischenspeicherung für REST-Anfragen, die ab Werk eingeschaltet ist.
Welche Kundendaten waren abrufbar?
Laut Eintrag Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer, Warenkorb mit Summen, Sitzungsdaten und an der Kasse der Bestellschlüssel des zuletzt gespeicherten Kunden.
Wird die Lücke schon ausgenutzt?
Der Eintrag nennt bis zum 5. November 2026 keine Angriffe. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog ausgenutzter Schwachstellen.
Quellen
2 Quellen anzeigenQuellen ausblenden
- WordfenceEintrag zu CVE-2026-93389 (LiteSpeed Cache bis 7.9.1), öffentlich gemacht am 4. November 2026; dazu CVE-Eintrag CVE-2026-93389 und NVD: CVE-2026-93389
- wordpress.orgLiteSpeed Cache, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 5. November 2026; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 5. November 2026
Mehr Newshunger?
- WP Fastest Cache mit über 1 Million Installationen: Cache legte Zugangsdaten neuer Nutzer offen
- LiteSpeed Cache mit über 7 Millionen Installationen: Gleiche Lücke steckt auch in W3 Total Cache
- LiteSpeed Cache mit über 7 Millionen Installationen: zwei schwere Sicherheitslücken
- PDF Invoices mit über 300.000 Installationen: Sicherheitslücke schickt Rechnungen an Fremde
- SureCart mit über 80.000 Installationen: Schwere Sicherheitslücke gibt Fremden Zugriff aufs Administratorkonto
