Ein und derselbe Programmierfehler steckte in den beiden verbreiteten Cache-Plugins LiteSpeed Cache und W3 Total Cache: Beide komprimieren den HTML-Code einer Seite mit Hilfe von Platzhaltern, deren Namen sich vorhersagen ließen. Über einen Kommentar konnten Fremde ohne Anmeldung Schadcode in eine Seite bringen, wenn die HTML-Komprimierung eingeschaltet war. Wordfence hat die Lücken am 28. und 30. Oktober offengelegt, die Updates vom 20. Oktober beheben sie.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
LiteSpeed Cache läuft laut wordpress.org auf über 7 Millionen Websites, W3 Total Cache auf über 900.000. Gefunden hat beide Fehler derselbe Sicherheitsforscher, der unter dem Pseudonym Santh auftritt und am 30. Oktober auch eine Lücke mit Platzhaltern in All in One SEO gemeldet hatte. Wordfence bewertet die Lücke in LiteSpeed Cache (CVE-2026-116763) nach CVSS 3.1 mit 5,4 von 10 Punkten, also mittel.[1] In W3 Total Cache vergibt Wordfence für die gleichartige Lücke ebenfalls 5,4 Punkte und für eine zweite Kommentar-Lücke 7,2 Punkte, also hoch.[2]
Das Wichtigste in Kürze
- LiteSpeed Cache bis 7.9.1 und W3 Total Cache bis 2.10.7 leiteten die Namen ihrer Platzhalter aus der Uhrzeit des Servers ab, beide Plugins übernahmen die Zeile aus derselben Open-Source-Bibliothek.
- Ausnutzbar ist der Fehler nur bei eingeschalteter HTML-Komprimierung, die in beiden Plugins ab Werk aus ist; LiteSpeed Cache schaltet sie mit der als empfohlen markierten Voreinstellung „Advanced“ ein.
- LiteSpeed Cache 7.9.2 und W3 Total Cache 2.11.0 vom 20. Oktober ersetzen den Zeitstempel durch einen Zufallswert, wie ein Vergleich des Quellcodes zeigt.
- Laut wordpress.org lief am 31. Oktober bei LiteSpeed Cache knapp ein Drittel und bei W3 Total Cache rund zwei Drittel der Installationen auf älteren Versionsreihen, die durchweg anfällig sind.
Warum wurde ein Zeitstempel zur Sicherheitslücke?
Beim Komprimieren, in der Fachsprache Minifizieren genannt, entfernt ein Cache-Plugin Leerzeichen, Zeilenumbrüche und Kommentare aus dem HTML-Code einer Seite. Skripte, Stilangaben und vorformatierte Abschnitte dürfen dabei nicht verändert werden. Deshalb ersetzt das Plugin sie vorübergehend durch Platzhalter, komprimiert den Rest und setzt die geschützten Abschnitte am Ende wieder ein. Den Namen der Platzhalter bildete LiteSpeed Cache bis Version 7.9.1 aus einem Prüfwert der Uhrzeit, zu der die Anfrage beim Server einging.[3]
Weil sich die Uhrzeit des Servers von außen bestimmen lässt, war auch der Name vorhersagbar. Schrieb ein Angreifer ihn in einen Kommentar, behandelte das Plugin diesen Text beim Zusammensetzen wie einen eigenen Platzhalter. So gelangte Code an eine Stelle, an der der Browser ihn ausführt.[1] Für LiteSpeed Cache nennt Wordfence eine zweite Bedingung: Ein anderes Plugin muss gespeicherte Kommentare in einem Skriptbereich derselben Seite ausgeben, etwa in strukturierten Daten. Diese Hürde erklärt den mittleren Wert von 5,4.
Die Zeile stammt nicht von LiteSpeed. Der Kopf der Datei nennt als Urheber Stephen Clay und die Bibliothek Minify, die unter einer freien BSD-Lizenz steht.[3] In der Fassung auf GitHub steht die Bildung des Platzhalters aus der Anfragezeit am 31. Oktober unverändert, zuletzt geändert wurde die Bibliothek im Februar.[5] Ob weitere Software mit dieser Vorlage angreifbar ist, hängt davon ab, wie sie Nutzereingaben in die Seite übernimmt. Belege dafür liegen bisher nicht vor.
Was ist bei W3 Total Cache anders?
W3 Total Cache vom Hersteller BoldGrid nutzt dieselbe Bibliothek und bildete die Namen in einem Zusatzmodul, das ausgewählte Kommentare beim Komprimieren stehen lässt, aus der Serverzeit. Ausnutzbar ist das laut Wordfence, wenn die HTML-Komprimierung eingeschaltet ist und die Liste der Kommentare, die stehen bleiben sollen, ihren Standardeintrag enthält (CVE-2026-120019, CVSS 3.1: 5,4, vergeben von Wordfence).[2] Version 2.11.0 vergibt die Namen jetzt per Zufall, auch im eigentlichen HTML-Modul.[4]
Die zweite Lücke (CVE-2026-111254, 7,2 Punkte) betrifft Websites, auf denen früher eine Pro-Lizenz mit dem Cache für die REST-Schnittstelle aktiv war. Lief die Lizenz ab, während der Seiten-Cache weiter auf der Festplatte speicherte, landete Kommentarinhalt ungefiltert als HTML im Cache. Angreifer brauchen dafür kein Konto, müssen aber unter Namen und E-Mail-Adresse eines Kommentators auftreten, dessen Kommentar die Website schon einmal freigegeben hat.[2] WordPress veröffentlicht solche Kommentare in der Standardeinstellung ohne erneute Prüfung.
Im Änderungsprotokoll von Version 2.11.0 stehen beide Korrekturen als technische Einträge, der Hinweis zum Update nennt eine neue Erweiterung und die Lizenzverwaltung. Die Versionen 2.10.5 bis 2.10.7 hatte BoldGrid dort noch ausdrücklich als Sicherheitsupdates gekennzeichnet.[4] Dr. Web hatte Anfang Oktober über die dritte Kommentar-Lücke in W3 Total Cache binnen sieben Wochen berichtet. Auch bei LiteSpeed Cache ist es nicht der erste Fund in kurzer Zeit: Am 23. Oktober ging es um zwei Lücken bei der Optimierung von Schriften und CSS, die dasselbe Update 7.9.2 schließt. Version 7.9.2 behebt zudem eine Lücke, über die Konten mit Abonnenten-Rechten bei eingeschalteter Funktion Viewport Images, die Bilder im zuerst sichtbaren Bereich einer Seite gesondert behandelt, Code einschleusen konnten (CVE-2026-109215, 6,4 Punkte).[1]
Von der Meldung bis zur Offenlegung
Versionsreihen laut wordpress.org am 31. Oktober: LiteSpeed Cache 7.9 mit 69,9 Prozent, ältere Reihen 30,1 Prozent; W3 Total Cache 2.11 mit 32,5 Prozent, ältere Reihen 67,5 Prozent. Status: offengelegt, Patch verfügbar, Angriffe nicht bekannt.
Cache-Plugins liefern jede Seite an alle Besucher aus. Ein Fehler beim Komprimieren erreicht deshalb jeden Besucher. Ein Hersteller, der fremden Code übernimmt, übernimmt auch dessen Schwächen und muss ihn ebenso prüfen wie den eigenen.
Michael Dobler, Herausgeber Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie LiteSpeed Cache 7.9.2 oder W3 Total Cache 2.11.0 ein und prüfen Sie unter Plugins, ob automatische Updates aktiv sind.
- Komprimierung prüfen: Sehen Sie nach, ob die HTML-Komprimierung eingeschaltet ist. Bei LiteSpeed Cache genügt dafür ein Blick auf die gewählte Voreinstellung.
- Cache leeren: Leeren Sie nach dem Update den Seiten-Cache, damit keine vorher gespeicherte Fassung mit eingeschleustem Code ausgeliefert wird, und sichten Sie neue Kommentare der vergangenen Wochen.
- Kundenwebsites einplanen: Agenturen sollten alle betreuten Installationen aktualisieren, auch wenn das Änderungsprotokoll von W3 Total Cache 2.11.0 kein Sicherheitsupdate ausweist.
Laut der Versionsstatistik von wordpress.org liefen am 31. Oktober 69,9 Prozent der Installationen von LiteSpeed Cache auf der Versionsreihe 7.9, darunter auch die anfälligen Unterversionen 7.9 und 7.9.1. Die übrigen 30,1 Prozent nutzten ältere Reihen, das sind bei über 7 Millionen Installationen rechnerisch mehr als 2,1 Millionen.[3] Bei W3 Total Cache lagen 32,5 Prozent auf der Reihe 2.11 und 67,5 Prozent darunter, rechnerisch rund 600.000 Installationen.[4] Im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA steht keine der Lücken, Angriffe sind bis zum 31. Oktober nicht bekannt.[6] Wie schnell ein Seiten-Cache eingeschleusten Code verteilt, zeigte im Oktober auch eine Lücke in PixelYourSite. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen, und der Beitrag zum serverseitigen Caching erklärt, wo ein Cache auf dem Server statt im Plugin arbeitet.
FAQ: LiteSpeed Cache mit über 7 Millionen Installationen: Gleiche Lücke steckt auch in W3 Total Cache
Welche Versionen von LiteSpeed Cache und W3 Total Cache sind betroffen?
Betroffen sind LiteSpeed Cache bis einschließlich 7.9.1 und W3 Total Cache bis einschließlich 2.10.7. Behoben sind die Lücken in LiteSpeed Cache 7.9.2 und W3 Total Cache 2.11.0, beide vom 20. Oktober 2026.
Ist meine Website auch ohne HTML-Komprimierung gefährdet?
Durch die Platzhalter-Lücken nicht, sie setzen die eingeschaltete HTML-Komprimierung voraus. Die ist in beiden Plugins ab Werk aus. LiteSpeed Cache aktiviert sie mit der empfohlenen Voreinstellung „Advanced“. Die zweite Lücke in W3 Total Cache hängt dagegen an einer abgelaufenen Pro-Lizenz.
Was kann ein Angreifer über die Lücken erreichen?
Er kann über einen Kommentar Code in eine Seite bringen, der im Browser der Besucher läuft. Weil das Cache-Plugin die Seite speichert, erreicht der Code jeden, der sie aufruft. Trifft er einen angemeldeten Administrator, kann er in dessen Namen handeln.
Woher stammt der gemeinsame Fehler?
Beide Plugins nutzen Code aus der freien Bibliothek Minify von Stephen Clay. Sie bildete die Namen der Platzhalter aus der Uhrzeit der Anfrage. LiteSpeed und BoldGrid ersetzen den Zeitstempel seit dem 20. Oktober durch einen Zufallswert, die Vorlage auf GitHub ist unverändert.
Werden die Lücken schon ausgenutzt?
Bis zum 31. Oktober 2026 sind keine Angriffe bekannt, die US-Behörde CISA führt keine der Lücken als aktiv ausgenutzt. Weil Wordfence sie am 28. und 30. Oktober öffentlich beschrieben hat, sollten Betreiber die Updates trotzdem sofort einspielen.
Quellen
6 Quellen anzeigenQuellen ausblenden
- WordfenceEintrag zu CVE-2026-116763 (LiteSpeed Cache <= 7.9.1), offengelegt am 28. Oktober 2026, und Eintrag zu CVE-2026-109215; dazu NVD: CVE-2026-116763
- WordfenceEintrag zu CVE-2026-120019 und Eintrag zu CVE-2026-111254 (W3 Total Cache <= 2.10.7), offengelegt am 30. Oktober 2026; dazu NVD: CVE-2026-120019, CVE-2026-111254
- wordpress.orgLiteSpeed Cache, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 31. Oktober 2026; Quellcode der Versionen 7.9.1 und 7.9.2 aus dem Plugin-Verzeichnis
- wordpress.orgW3 Total Cache, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 31. Oktober 2026; Quellcode der Versionen 2.10.7 und 2.11.0 aus dem Plugin-Verzeichnis
- GitHubBibliothek Minify von Stephen Clay, Datei lib/Minify/HTML.php, abgerufen am 31. Oktober 2026
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 31. Oktober 2026
Mehr Newshunger?
- LiteSpeed Cache mit über 7 Millionen Installationen: zwei schwere Sicherheitslücken
- W3 Total Cache: dritte Kommentar-Lücke in sieben Wochen bei über 900.000 Sites
- All in One SEO mit über 2 Millionen Installationen: Sicherheitslücke legt versteckte Zusatzfelder offen
- PixelYourSite mit über 400.000 Installationen: Der Seiten-Cache verteilt eingeschleusten Code
