Ohne Konto konnten Fremde über das WordPress-Plugin MW WP Form gespeicherte Kontaktanfragen anderer Besucher abrufen, samt Namen, E-Mail-Adressen und Nachrichtentext. Der Hersteller hatte dieselbe Stelle schon im April abgesichert, aber nicht vollständig. Erst Version 5.1.8 vom 27. September schließt die Lücke.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenGemeldet hat sie das Team RIA Labs. Wordfence informierte den japanischen Anbieter Webの相談所 am 15. September und machte die Lücke am 28. Oktober öffentlich, seit dem 29. Oktober trägt sie die Kennung CVE-2026-92086.[1] MW WP Form baut Kontaktformulare mit Bestätigungsseite per Shortcode und läuft laut wordpress.org auf über 200.000 Websites (Stand 29. Oktober). Wordfence bewertet die Lücke nach CVSS 3.1 mit 5,3 von 10 Punkten (mittel).[2]
Das Wichtigste in Kürze
- MW WP Form bis Version 5.1.7 gibt gespeicherte Anfragen an Fremde heraus, wenn ein Formular Angaben eines Beitrags aus der Adresszeile übernimmt. Eine Anmeldung ist nicht nötig (CVSS 3.1: 5,3, Wordfence).
- Der erste Fix vom April prüfte nur, ob ein Eintrag veröffentlicht ist. Gespeicherte Anfragen tragen genau diesen Status, liegen aber in einem internen Inhaltstyp.
- Abgesichert ist Version 5.1.8. Angriffe sind bisher nicht bekannt, rund 46 Prozent der Installationen liefen am 29. Oktober noch auf Versionsreihen vor 5.1.
Wie gelangen Fremde an die Anfragen?
MW WP Form kann ein Formular mit Angaben eines Beitrags vorbefüllen, etwa mit dem Titel einer Wohnung oder eines Seminars, zu dem ein Besucher eine Frage stellt. Welcher Beitrag gemeint ist, steht als Nummer in der Adresszeile. Das Plugin las den Eintrag mit dieser Nummer aus, ohne ausreichend zu prüfen, ob er öffentlich sichtbar sein darf. Laut Wordfence genügte es deshalb, fortlaufende Nummern durchzuprobieren, um gespeicherte Anfragen anderer Besucher einzusehen, mit Namen, E-Mail-Adresse und Nachrichtentext.[2]
Zwei Einstellungen müssen dafür eingeschaltet sein. Die Übernahme aus der Adresszeile ist laut Wordfence eine dokumentierte Standardfunktion. Gespeichert werden Anfragen nur, wenn der Betreiber das Ablegen in der Datenbank aktiviert hat. Beide Schalter sind ab Werk aus, wie der Quellcode zeigt.[3] Gehen Anfragen nur per Mail ein und speichert die Website nichts, gibt es zumindest keine Anfragen zum Auslesen.
Warum reichte der erste Fix nicht?
WordPress kennt für jeden Eintrag zwei Merkmale: den Status, also veröffentlicht, Entwurf oder privat, und den Inhaltstyp, der öffentlich oder nur intern genutzt sein kann. MW WP Form legt jede gespeicherte Anfrage als Eintrag eines internen Inhaltstyps ab, mit dem Status „veröffentlicht“. Im Mai hatte Wordfence schon eine Lücke an derselben Stelle offengelegt, über die Fremde Entwürfe, private und passwortgeschützte Beiträge lesen konnten (CVE-2026-6206).[4] Der Fix in Version 5.1.3 vom 27. April ließ nur noch veröffentlichte Einträge ohne Passwort durch. Den Inhaltstyp prüfte er nicht, und so blieben ausgerechnet die gespeicherten Anfragen erreichbar.[5]
Version 5.1.7 vom 20. September ersetzt die Abfrage durch eine Prüffunktion von WordPress, die Status und Inhaltstyp zusammen bewertet. Ein Test im Code des Herstellers prüft genau diesen Fall: Eine Anfrage mit Name und E-Mail-Adresse bleibt verborgen, ein öffentlicher Beitrag lässt sich weiter übernehmen.[5] Ausgeliefert wurde 5.1.7 aber nie. Laut Änderungsprotokoll fehlte die neue Versionsnummer in der Beschreibungsdatei, nach der wordpress.org Updates verteilt. Erst die inhaltsgleiche Version 5.1.8 vom 27. September kam bei den Websites an.[6] Am 27. und 28. September verzeichnete wordpress.org zusammen über 22.000 Downloads, in der Woche davor zwischen 195 und 1.571 am Tag.
Zwei Anläufe bis zum vollständigen Fix
| Datum 2026 | Schritt |
|---|---|
| 27. April | Version 5.1.3 mit erstem Fix, der nur den Status prüft |
| 13. Mai | Wordfence legt die erste Lücke offen (CVE-2026-6206) |
| 15. Sept. | Wordfence informiert den Hersteller über die neue Lücke |
| 20. Sept. | Version 5.1.7 mit vollständigem Fix, wird nicht ausgeliefert |
| 27. Sept. | Version 5.1.8 kommt bei den Websites an |
| 28. Okt. | Wordfence macht die Lücke öffentlich (CVE-2026-92086) |
Betroffen sind Formulare, bei denen die Übernahme von Beitragsangaben aus der Adresszeile und das Speichern der Anfragen eingeschaltet sind. Beides ist ab Werk aus. Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt.
Dieselbe Verwechslung von Status und Sichtbarkeit steckte im Oktober schon in anderen großen Plugins. Royal Addons for Elementor gab über Formulare eingesandte Daten heraus, weil es nur auf den Status „veröffentlicht“ achtete. Essential Addons for Elementor ließ Fremde Inhalte nicht öffentlicher Inhaltstypen und Zusatzfelder lesen, die nur intern sichtbar sein sollten. Zu MW WP Form selbst führt die US-Datenbank NVD 15 Schwachstellen seit 2023, darunter Datei-Uploads ohne Anmeldung mit 9,8 Punkten. Am 1. Oktober kam eine weitere Lücke an derselben Stelle hinzu, über die Fremde laut Wordfence Skriptcode in gespeicherte Anfragen schreiben konnten (CVE-2026-96567, CVSS 3.1: 7,2). Auch sie betrifft Versionen bis 5.1.7.[7]
Veröffentlicht heißt in WordPress nicht automatisch öffentlich. Ein Plugin, das Einträge herausgibt, muss beides prüfen.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie MW WP Form 5.1.8 ein. Prüfen Sie in der Plugin-Liste, ob automatische Updates für das Plugin aktiv sind. Version 5.1.7 hat wordpress.org nie angeboten, maßgeblich ist 5.1.8.
- Einstellungen prüfen: Kontrollieren Sie in jedem Formular, ob die Übernahme von Beitragsangaben aus der Adresszeile und das Speichern der Anfragen aktiviert sind. Brauchen Sie eine der beiden Funktionen nicht, schalten Sie sie ab.
- Alte Anfragen löschen: Gespeicherte Anfragen, die niemand mehr bearbeitet, sollten nicht in der Datenbank liegen bleiben. Das senkt den Schaden bei der nächsten Lücke und entspricht dem Grundsatz der Speicherbegrenzung der DSGVO.
- Meldepflicht klären: Waren beide Einstellungen aktiv und lief eine anfällige Version, können Unbefugte Namen, E-Mail-Adressen und Nachrichten eingesehen haben. Dann ist zu prüfen, ob eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nach Kenntnis nötig ist (Art. 33 DSGVO).[8]
Bis zum 29. Oktober sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-92086 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen, hält ihre Ausnutzung aber für automatisierbar. Laut Versionsstatistik von wordpress.org lief am 29. Oktober gut die Hälfte der Installationen auf der Versionsreihe 5.1, in der die Statistik anfällige und abgesicherte Versionen zusammenzählt. Rund 46 Prozent nutzten ältere Reihen, die alle anfällig sind.[6] Seit dem 27. September zählt wordpress.org gut 66.000 Downloads, rechnerisch ein Drittel der über 200.000 Installationen, wobei ein Download nicht einer Website entspricht. Agenturen mit vielen Kundenwebsites sollten zuerst die Websites aktualisieren, die Anfragen speichern. Grundregeln für die Absicherung fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.
FAQ: MW WP Form mit über 200.000 Installationen: Sicherheitslücke legt gespeicherte Anfragen offen
Welche Versionen von MW WP Form sind von der Sicherheitslücke betroffen?
Laut Wordfence alle Versionen bis einschließlich 5.1.7. Abgesichert ist Version 5.1.8 vom 27. September 2026. Version 5.1.7 enthielt den Fix bereits, wurde wegen eines Fehlers in der Beschreibungsdatei aber nie über wordpress.org verteilt.
Welche Daten konnten Fremde über MW WP Form auslesen?
Gespeicherte Kontaktanfragen anderer Besucher, laut Wordfence mit Namen, E-Mail-Adressen und Nachrichtentext. Eine Anmeldung war nicht nötig. Voraussetzung ist ein Formular, das Beitragsangaben aus der Adresszeile übernimmt und Anfragen in der Datenbank speichert.
Ist meine Website betroffen, wenn MW WP Form keine Anfragen speichert?
Gespeicherte Anfragen kann es dann nicht geben, also auch keine, die sich auslesen lassen. Das Speichern ist ab Werk ausgeschaltet. Das Update auf 5.1.8 sollten Sie trotzdem einspielen, weil dieselbe Version eine weitere Lücke schließt.
Muss ich die Lücke der Datenschutzaufsicht melden?
Das hängt vom Einzelfall ab. Liefen eine anfällige Version, die Übernahme aus der Adresszeile und das Speichern der Anfragen, können Unbefugte personenbezogene Daten eingesehen haben. Dann ist nach Art. 33 DSGVO zu prüfen, ob eine Meldung binnen 72 Stunden nötig ist.
Quellen
8 Quellen anzeigenQuellen ausblenden
- CVE-ProgrammCVE-2026-92086, Eintrag von Wordfence mit Finder und Zeitablauf (Hersteller informiert am 15. September, offengelegt am 28. Oktober 2026), veröffentlicht am 29. Oktober 2026
- NVDCVE-2026-92086, Beschreibung und Bewertung von Wordfence nach CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N), veröffentlicht am 29. Oktober 2026
- wordpress.org: Quellcode von MW WP Form 5.1.8 im Plugin-Verzeichnis, Voreinstellungen der Formulare, eigene Prüfung am 29. Oktober 2026
- CVE-ProgrammCVE-2026-6206, Eintrag von Wordfence (Finder Kirasec, offengelegt am 13. Mai 2026)
- Webの相談所 auf GitHubVergleich der Versionen 5.1.6 und 5.1.8 mit Test für nicht öffentliche Einträge und Änderung vom 20. April 2026 zum ersten Fix
- wordpress.orgMW WP Form, Änderungsprotokoll, aktive Installationen, Versions- und Downloadstatistik, abgerufen am 29. Oktober 2026
- NVDSchwachstellen mit dem Stichwort MW WP Form, darunter CVE-2023-28409, CVE-2023-6316 und CVE-2026-96567, abgerufen am 29. Oktober 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 5 Abs. 1 lit. e und Art. 33
Mehr Newshunger?
- Everest Forms mit über 90.000 Installationen: Sicherheitslücke legt Zugangsdaten offen, erst der zweite Fix hilft
- Royal Addons for Elementor mit über 600.000 Installationen: Sicherheitslücke legt Formulareinsendungen offen
- Essential Addons for Elementor mit über 1 Million Installationen: Sicherheitslücke legt private Zusatzfelder offen
- GeoDirectory mit über 10.000 Installationen: Abonnenten konnten Dateien vom Server löschen
- WordPress 7.1.4 schließt 22 Sicherheitslücken, eine davon im Update selbst
