Im Anmeldeformular von MC4WP konnte jeder Besucher bestimmen, in welchen Mailchimp-Verteiler eine E-Mail-Adresse landet, auch in einen, den der Betreiber dafür nie freigegeben hatte. Das Plugin läuft auf mehr als 1 Million WordPress-Websites. Version 4.15.0 vom 3. November schließt die Sicherheitslücke, den Beweis-Code will WPScan erst am 18. November veröffentlichen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
WPScan führt seit dem 4. November eine Sicherheitslücke im WordPress-Plugin MC4WP: Mailchimp for WordPress, alle Versionen vor 4.15.0 sind betroffen. Laut wordpress.org hat das Plugin mehr als 1 Million aktive Installationen. WPScan bewertet CVE-2026-118167 mit 5,3 von 10 Punkten (CVSS 3.1, Stufe mittel), die Datenbank NVD hat noch keine eigene Wertung vergeben.[1][2]
Das Wichtigste in Kürze
- Ein Besucher ohne Konto konnte laut WPScan E-Mail-Adressen in jeden anderen Verteiler des verbundenen Mailchimp-Kontos eintragen.
- Betroffen sind alle Versionen vor 4.15.0, die Korrektur erschien am 3. November.
- WPScan stuft die Sicherheitslücke mit 5,3 von 10 Punkten als mittel ein, eine zweite Lücke mit 4,8 Punkten betrifft eingebettete Formulare.
- Angriffe nennen die Einträge nicht, der Beweis-Code bleibt bis mindestens 18. November unter Verschluss.
Wie kommt eine Adresse in den falschen Verteiler?
Das Plugin bindet Newsletter-Anmeldungen an Mailchimp an. Ein Betreiber legt fest, in welche Zielgruppe ein Formular einträgt, in Mailchimp heißt der Verteiler Audience. Das Plugin prüfte laut WPScan nicht, ob die Wahl eines Besuchers dazu passt. Ein Fremder konnte deshalb beliebige Adressen in jeden anderen Verteiler des verbundenen Kontos eintragen.[1]
Das Änderungsprotokoll von 4.15.0 beschreibt die Korrektur so: Das Plugin übernimmt Listenangaben nur noch, wenn der Betreiber sie für das Formular oder die Integration ausgewählt hat. Außerdem ignoriert es Anmeldungen an Formulare, die nicht veröffentlicht sind.[2] Die zweite Lücke, CVE-2026-118166 (CVSS 3.1: 4,8, vergeben von WPScan), betrifft eingebettete Formulare: Dort ließen sich Kurzcodes mit frei gewählten Attributen ausführen, aber nur, wenn der Betreiber einen Platzhalter mit Besucherdaten ins Formular gesetzt hat.[3]
Warum ist das mehr als ein Schönheitsfehler?
Mailchimp-Konten führen oft mehrere Verteiler: Kunden, Interessenten, interne Gruppen, Premiumkunden. Ein Formular auf der Website gehört zu genau einem davon. Überlässt ein Plugin die Listenwahl dem Browser, behandelt es eine Betreiberentscheidung wie eine Besuchereingabe. Das ist das Muster einer fehlenden Zugriffsprüfung, das WPScan als „Incorrect authorisation“ einordnet.
Folgen sind Mails an Menschen, die sich nie angemeldet haben, und Beschwerden, die den Ruf des Absenders belasten. Ob Mailchimp für solche Adressen eine Bestätigungsmail verschickt, hängt von den Einstellungen des Formulars ab, die Quelle sagt dazu nichts. Formular-Plugins fallen bei Dr. Web regelmäßig auf: MetForm gab Einträge ohne Login preis, Royal Addons legte Formulareinsendungen offen. Schon Version 4.14.1 vom 10. September musste Formularinhalte nachträglich maskieren.[2]
Vom Update bis zum Beweis-Code
Angriffe nennen die Einträge nicht, die US-Behörde CISA führt die Sicherheitslücke nicht in ihrem Katalog ausgenutzter Schwachstellen.
Ein Formular darf Adressen sammeln, aber nicht entscheiden, auf welche Liste sie kommen. Das legt der Betreiber fest.
Michael Dobler, Herausgeber Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie MC4WP 4.15.0 ein und schalten Sie automatische Updates für das Plugin ein.
- Formulare testen: Formulare mit eigenem HTML, die eine Listenwahl mitschicken, funktionieren nur noch für Listen, die in den Integrationseinstellungen ausgewählt sind. Melden Sie sich einmal selbst an.
- Cache leeren: Zwischengespeicherte Seiten, auf denen der Kurzcode eine eigene Listenangabe trägt, melden bis zum Leeren des Caches an die Listen aus den Formulareinstellungen an.
- Verteiler prüfen: Sehen Sie in Mailchimp nach neuen Kontakten, die zu keinem Ihrer Formulare passen, vor allem in Verteilern ohne öffentliches Formular.
- Platzhalter prüfen: Setzen Sie in eingebetteten Formularen keine Platzhalter mit Besucherdaten, solange 4.15.0 fehlt.
Agenturen mit vielen Kundenseiten filtern ihre Update-Werkzeuge nach MC4WP vor 4.15.0. Laut Versionsstatistik von wordpress.org liefen am 6. November rund 16 Prozent der Installationen auf der Reihe 4.15, auf den drei größten älteren Reihen 4.14, 4.9 und 4.10 zusammen rund 62 Prozent. Das ist eine Näherung, weil die Statistik nur Reihen ausweist. Landen fremde Adressen in einem Verteiler, fehlt für sie jede Einwilligung, und Werbemails verstoßen dann gegen § 7 UWG. Die Einwilligung müssen Betreiber nach Art. 7 Abs. 1 DSGVO nachweisen können, Grundlagen erklärt der Ratgeber zum Newsletter-Marketing. Zum Betrieb gehört ein Hoster, der Updates unterstützt, passende Anbieter nennt der WordPress-Hosting-Vergleich, Grundregeln der Ratgeber zur WordPress-Sicherheit.
FAQ: Sicherheitslücke bei MC4WP: Mailchimp for WordPress
Welche Version von MC4WP ist sicher?
Laut WPScan sind alle Versionen vor 4.15.0 betroffen. Version 4.15.0 erschien am 3. November 2026. Prüfen Sie im Plugin-Bereich Ihres WordPress, welche Version läuft.
Braucht ein Angreifer ein Konto auf der Website?
Nein. Laut WPScan kann ein Besucher ohne Anmeldung Adressen in andere Verteiler des verbundenen Mailchimp-Kontos eintragen.
Was passiert mit den eingetragenen Adressen?
Sie landen in einem Verteiler, für den keine Einwilligung vorliegt. Ob Mailchimp eine Bestätigungsmail verschickt, hängt von den Einstellungen des Formulars ab, die Quelle nennt dazu nichts.
Wird die Sicherheitslücke schon ausgenutzt?
Die Einträge nennen bis zum 6. November 2026 keine Angriffe. Die US-Behörde CISA führt die Sicherheitslücke nicht in ihrem Katalog ausgenutzter Schwachstellen. WPScan hält den Beweis-Code bis zum 18. November zurück.
Quellen
3 Quellen anzeigenQuellen ausblenden
- WPScanMC4WP: Mailchimp for WordPress < 4.15.0, Unauthenticated Subscription Audience Override, öffentlich seit 4. November 2026; dazu NVD: CVE-2026-118167
- wordpress.orgMC4WP: Mailchimp for WordPress, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 6. November 2026; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 6. November 2026
- NVDCVE-2026-118166, CVSS 3.1 von WPScan, veröffentlicht am 6. November 2026
Mehr Newshunger?
- Schwere Sicherheitslücke bei Advanced Custom Fields
- Schwere Sicherheitslücke bei LiteSpeed Cache im Warenkorb
- MetForm: Formular-Plugin mit über 600.000 Installationen gab Einträge ohne Login preis
- Royal Addons for Elementor mit über 600.000 Installationen: Sicherheitslücke legt Formulareinsendungen offen
- Gravity Forms: Kritische Sicherheitslücke trifft Formulare, die Beiträge anlegen
- Redirection for Contact Form 7 mit über 200.000 Installationen: Fremde konnten Skripte einschleusen
