Beliebige Dateien auf dem Server löschen konnten bis Version 4.5.5 Konten mit einem bestimmten Galerie-Recht im WordPress-Plugin NextGEN Gallery. Wordfence stuft die Lücke mit 8,1 von 10 Punkten als hoch ein, laut Beschreibung kann das Löschen der richtigen Datei, etwa der wp-config.php, zur Codeausführung führen. Der Patch erschien am 9. November, das Plugin zählt mehr als 300.000 aktive Installationen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die US-Datenbank NVD führt die Lücke seit dem 13. November als CVE-2026-118191, meldende Stelle ist Wordfence.[1] Betroffen sind laut Eintrag alle Versionen bis 4.5.5, und die Schwachstelle sitzt in der Lightroom-Veröffentlichung des Plugins.[1] Das Änderungsprotokoll von Version 4.5.6 nennt die Kennung ausdrücklich als behoben.[2]
Das Wichtigste in Kürze
- Betroffen sind alle Versionen bis 4.5.5, die Version 4.5.6 vom 9. November enthält den Fix.
- Ein Angreifer braucht ein Konto mit dem Recht „NextGEN Manage gallery“. Das haben laut Eintrag standardmäßig nur Administratoren, der Betreiber kann es aber an andere Rollen vergeben.
- Angriffe und öffentlicher Exploit-Code sind bis zum 14. November nicht belegt, im Katalog der CISA für ausgenutzte Schwachstellen steht der Eintrag nicht.
- Die Version 4.5.6 behebt laut Änderungsprotokoll elf Sicherheitsthemen auf einmal, schon 4.5.5 vom 29. Oktober brachte Sicherheitskorrekturen.
Warum kann eine Galerie den ganzen Server treffen?
NextGEN Gallery verwaltet Bilder nicht nur in der Mediathek, sondern legt eigene Dateien und Ordner an und löscht sie auch wieder. Über die Lightroom-Anbindung veröffentlichen Fotografen Bilder direkt aus Adobe Lightroom, der Server verarbeitet die Aufträge. Prüft die zuständige Funktion den Dateipfad nicht ausreichend, folgt das Löschen dem Pfad auch dorthin, wo keine Galeriebilder liegen. Genau das beschreibt Wordfence: Der Pfad werde unzureichend validiert, deshalb ließen sich beliebige Dateien auf dem Server löschen.[1]
Der Schaden hängt an der Datei. Wordfence nennt die wp-config.php als Beispiel und spricht davon, dass die Folge leicht in Codeausführung münden kann.[1] Die Hürde ist das Recht „NextGEN Manage gallery“: Es gehört laut Eintrag standardmäßig Administratoren, lässt sich aber über die Rollenverwaltung des Plugins an Rollen mit weniger Rechten delegieren.[1] Betroffen sind damit vor allem Seiten, auf denen Fotografen, Redakteure oder Kundenkonten Galerien pflegen. Der Vektor (CVSS 3.1: 8,1, vergeben von Wordfence) verlangt ein Konto mit niedrigen Rechten, aber keine Mitwirkung eines Administrators.[1]
Am 14. November liefen laut wordpress.org 42,8 Prozent der Installationen auf der Reihe 4.5, 13,3 Prozent auf 3.59, 5,2 Prozent auf 4.2 und 38,7 Prozent auf andere Reihen.[2] Die Reihen 3.59 und 4.2 liegen vollständig unter 4.5.6, rechnerisch sind das 18,5 Prozent von mehr als 300.000, also rund 55.000 Installationen. In der Reihe 4.5 stecken sowohl betroffene Versionen bis 4.5.5 als auch die aktuelle 4.5.6, die Statistik trennt sie nicht.
Ist das ein Einzelfall?
Nein, auch nicht beim selben Plugin. Mit Version 4.5.5 vom 29. Oktober schloss NextGEN Gallery bereits CVE-2026-116563, ein gespeichertes Cross-Site-Scripting über Kommentare mit 5,4 Punkten, das den Lightbox-Effekt Shutter voraussetzte und einen freigegebenen Kommentar.[3] Das sind zwei Korrekturrunden in elf Tagen.
Dieselbe Klasse tauchte am 14. November bei einem weiteren Plugin auf: Wordfence ordnete bei Optimole mit CVE-2026-124969 eine Lücke zum Löschen beliebiger Dateien ein (7,1 Punkte, Versionen bis 4.2.19).[3] Dort muss laut Eintrag zusätzlich ein Administrator eine Aktion auslösen. Der Stand bei NextGEN Gallery: Patch verfügbar, Exploit-Code nicht öffentlich, Ausnutzung nicht belegt.
Vom Update bis zum NVD-Eintrag
Auf welchen Versionsreihen die Installationen liefen
Orange: Reihen 3.59 und 4.2, durchweg vor 4.5.6, zusammen 18,5 Prozent. Die Reihe 4.5 enthält betroffene Versionen (bis 4.5.5) und die aktuelle 4.5.6. Die Statistik von wordpress.org zeigt Anteile je Versionsreihe, nicht je Einzelversion.
Ein Galerie-Plugin, das Dateien löscht, braucht die Sorgfalt eines Backup-Plugins. Bei NextGEN Gallery fehlte sie an einer Stelle.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie NextGEN Gallery 4.5.6 oder neuer ein und schalten Sie automatische Updates für das Plugin ein.
- Rechte prüfen: Sehen Sie in der Rollenverwaltung des Plugins nach, welche Rollen „NextGEN Manage gallery“ besitzen, und entziehen Sie das Recht überall, wo es nicht gebraucht wird.
- Dateien kontrollieren: Prüfen Sie, ob die wp-config.php und die übrigen Kerndateien vorhanden und unverändert sind, und sichten Sie die Zugriffsprotokolle auf auffällige Löschvorgänge.
- Sicherung bereithalten: Eine aktuelle Sicherung außerhalb des Servers macht aus einer gelöschten Datei eine Sache von Minuten.
- Konten durchsehen: Suchen Sie in der Benutzerliste nach unbekannten Administratoren und setzen Sie bei Verdacht Passwörter zurück.
Agenturen mit vielen Kundenseiten filtern ihre Update-Werkzeuge nach dem Plugin und allen Versionen bis 4.5.5. Läuft auf einer betroffenen Seite ein Shop oder ein Kundenbereich, prüfen Betreiber bei Verdacht auf einen erfolgreichen Angriff die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden nach Bekanntwerden gilt. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, die Checkliste zur WordPress-Wartung hilft beim Update-Rhythmus, und im WordPress-Hosting-Vergleich finden Betreiber Anbieter, die den Betrieb übernehmen.
FAQ: Schwere Sicherheitslücke bei NextGEN Gallery
Welche Version von NextGEN Gallery ist sicher?
Die Version 4.5.6 vom 9. November 2026 nennt CVE-2026-118191 im Änderungsprotokoll als behoben. Betroffen sind laut NVD alle Versionen bis 4.5.5. Prüfen Sie im Plugin-Bereich Ihres WordPress, welche Version läuft.
Braucht ein Angreifer ein Konto auf der Website?
Ja. Laut NVD ist das Recht „NextGEN Manage gallery“ nötig. Administratoren haben es standardmäßig, der Betreiber kann es über die Rollenverwaltung des Plugins an andere Rollen vergeben.
Wird die Sicherheitslücke schon ausgenutzt?
Angriffe sind bis zum 14. November 2026 nicht belegt. Ein Eintrag im Katalog der CISA für ausgenutzte Schwachstellen fehlt, öffentlichen Exploit-Code nennt keine der geprüften Quellen.
Warum ist das Löschen von Dateien so gefährlich?
Je nach Datei kann der Verlust die Seite lahmlegen oder Angreifern den Weg zur Codeausführung öffnen. Wordfence nennt die wp-config.php als Beispiel. Eine Sicherung außerhalb des Servers begrenzt den Schaden.
Quellen
3 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-118191, veröffentlicht am 13. November 2026, meldende Stelle Wordfence; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 14. November 2026
- wordpress.orgNextGEN Gallery, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 14. November 2026
- NVDCVE-2026-116563 und CVE-2026-124969, abgerufen am 14. November 2026
