Ocean Extra mit über 500.000 Installationen: zweite Shortcode-Lücke ohne Login

Michael Dobler

Autor Dr. Web

15. Oktober 2026

3 Min. Lesezeit

Ohne Anmeldung konnten Fremde über das Plugin Ocean Extra beliebige Shortcodes einer WordPress-Website ausführen. Version 2.6.1 vom 10. September schließt die Lücke, öffentlich gemacht hat Wordfence sie am 14. Oktober. Laut wordpress.org liefen am 15. Oktober noch mindestens 37 Prozent der über 500.000 Installationen auf älteren Versionszweigen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Ocean Extra ergänzt das Theme OceanWP, das laut wordpress.org über 400.000 aktive Installationen zählt, um Zusatzfunktionen wie eine Vorlagen-Bibliothek. Betreiber bauen dort Kopf- und Fußbereiche einmal und setzen sie per Shortcode auf beliebige Seiten.^[2] Über diese Vorlagen ließen sich fremde Befehle anstoßen. Wordfence führt die Lücke als CVE-2026-86803, gemeldet hat sie ein Forscher unter dem Pseudonym hashiramasenju333.^[1]

Das Wichtigste in Kürze

CVE-2026-86803 betrifft Ocean Extra bis Version 2.6.0, behoben ist sie in 2.6.1 (CVSS 3.1: 6,5, vergeben von Wordfence).
Angreifbar sind Bibliotheksvorlagen, die mit dem Block-Editor gebaut wurden.
Schon im April 2025 hatte Wordfence eine Shortcode-Lücke ohne Anmeldung in Ocean Extra veröffentlicht.
Angriffe sind bis zum 15. Oktober nicht bekannt.

Wie gelangen fremde Shortcodes in eine Vorlage?

Zwei übereinandergestapelte weiße Keramiksiebe auf weißem Grund — Shortcodes sind Kurzbefehle in eckigen Klammern, die Formulare oder geschützte Inhalte in WordPress-Seiten einfügen. Das Plugin Ocean Extra hatte einen Fehler bei doppeltem Durchlauf von Block-Editor-Vorlagen

Shortcodes sind Kurzbefehle in eckigen Klammern, über die Themes und Plugins Formulare oder geschützte Inhalte in eine Seite setzen. WordPress führt jeden Shortcode im Seiteninhalt aus, gleich wer ihn dort hineingeschrieben hat. Der Fehler in Ocean Extra steckt in einem doppelten Durchlauf: Bei Vorlagen aus dem Block-Editor erzeugte das Plugin zuerst die dynamischen Blöcke und schickte die fertige Ausgabe danach durch die Shortcode-Verarbeitung.^[3]

Dynamische Blöcke zeigen Inhalte, die erst beim Seitenaufruf entstehen. Im Quelltext des Patches nennt der Hersteller selbst Kommentare als Beispiel für Shortcode-Syntax, die so in den zweiten Durchgang geriet. Version 2.6.1 verarbeitet Shortcodes nur noch im gespeicherten Text der Vorlage, bevor die Blöcke entstehen.^[3] Vorlagen aus Elementor, Beaver Builder oder SiteOrigin laufen nach dem Programmcode über einen eigenen Zweig. Wie viele Websites Block-Vorlagen einsetzen, nennen weder Wordfence noch OceanWP.

Warum trifft dieselbe Lückenklasse Ocean Extra erneut?

Im April 2025 veröffentlichte Wordfence CVE-2025-3472: Bis Version 2.4.6 führten Fremde ohne Anmeldung Shortcodes aus, sofern zusätzlich WooCommerce aktiv war.^[4] Im August 2025 folgte eine Cross-Site-Scripting-Lücke im selben Bibliotheks-Shortcode, für die Angreifer allerdings ein Mitwirkenden-Konto brauchten. Insgesamt listet Wordfence 22 Einträge für das Plugin, die mitgelieferte Lizenzbibliothek Freemius eingeschlossen.^[1]

Bei Click to Chat lief der Filter schon vor dem Einsetzen eines Platzhalters, im Buchungs-Plugin LatePoint genügte eine Terminbuchung. In beiden Fällen landeten Besucherdaten in einer Verarbeitung, die nur dem Text des Betreibers gelten sollte. Bei All in One SEO fehlte der Schutz nach Updates älterer Installationen ganz.

Theme-Hersteller lagern Funktionen gern in Begleit-Plugins aus, die Betreiber zusammen mit dem Theme installieren. Auch in Blocksy Companion und im Avada Builder steckten im Oktober Lücken, die Angreifer ohne Anmeldung ausnutzen konnten.

Ocean-Extra-Lücke CVE-2026-86803 im Steckbrief

Schwere, Reichweite und Zeitablauf, Stand 15. Oktober 2026

500.000+

aktive Installationen von Ocean Extra laut wordpress.org

6,5

Punkte nach CVSS 3.1 vergibt Wordfence, Angriff ohne Anmeldung möglich

37 %

der Installationen liefen am 15. Oktober mindestens auf Zweigen vor 2.6

Shortcode-Lücken ohne Anmeldung hat Wordfence seit April 2025 in Ocean Extra veröffentlicht

Von der ersten Lücke bis zur Offenlegung

21. April 2025

Vorgänger

CVE-2025-3472 greift ohne Anmeldung, aber nur bei aktivem WooCommerce

8. September

Meldung

Wordfence meldet die neue Lücke laut Changelog an OceanWP

10. September

Patch

Version 2.6.1 verarbeitet Shortcodes vor den dynamischen Blöcken

14. Oktober

Offenlegung

Wordfence veröffentlicht CVE-2026-86803, Angriffe sind nicht bekannt

Ein zweiter Shortcode-Durchlauf über die fertige Seite macht aus Besucherkommentaren mögliche Befehle.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie Ocean Extra auf Version 2.6.1 oder neuer, aktuell ist 2.6.3 vom 13. Oktober. Prüfen Sie dabei, ob automatische Plugin-Updates eingeschaltet sind.
Bibliothek durchsehen: Notieren Sie, welche Vorlagen mit dem Block-Editor entstanden sind und welche davon Kommentare oder andere Besucherinhalte zeigen.
Übergang sichern: Lässt sich das Update nicht sofort einspielen, deaktivieren Sie Ocean Extra bis dahin.
Kundensites sortieren: Agenturen suchen im Bestand nach OceanWP-Installationen und prüfen dort zuerst die Version der Erweiterung.

Shortcodes von Formular- oder Mitglieder-Plugins können personenbezogene Daten ausgeben. Die DSGVO verlangt Schutz nach dem Stand der Technik (Art. 32), ein Datenabfluss löst die Meldepflicht binnen 72 Stunden aus (Art. 33).^[5] Einen Überblick über Managed-Hoster mit Update-Service gibt der WordPress-Hosting-Vergleich.

Was ist Ocean Extra?

Ocean Extra ist das Begleit-Plugin zum WordPress-Theme OceanWP. Das Plugin ergänzt das Theme um Zusatzfunktionen wie eine Vorlagen-Bibliothek für Kopf- und Fußbereiche. Laut wordpress.org läuft das Plugin auf mehr als 500.000 Websites.

Welche Version von Ocean Extra ist sicher?

Sicher ist Version 2.6.1 vom 10. September 2026 oder neuer, aktuell ist 2.6.3. Alle Versionen bis einschließlich 2.6.0 enthalten die Lücke CVE-2026-86803. Welche Version installiert ist, zeigt die Plugin-Übersicht im WordPress-Dashboard.

Welche Websites sind von der Lücke betroffen?

Nach dem Programmcode greift die Lücke bei Bibliotheksvorlagen, die mit dem Block-Editor gebaut wurden. Vorlagen aus Elementor, Beaver Builder oder SiteOrigin laufen über einen anderen Zweig. Das Update empfiehlt sich für alle Installationen bis 2.6.0.

Was können Angreifer mit fremden Shortcodes anrichten?

Angreifer stoßen Shortcodes an, die Core, Theme und andere Plugins auf der Website registriert haben. Die Folgen hängen von diesen Shortcodes ab, etwa wenn ein Formular- oder Mitglieder-Plugin darüber geschützte Inhalte ausgibt. Wordfence bewertet die Lücke mit 6,5 von 10 Punkten.

Wird die Lücke in Ocean Extra schon ausgenutzt?

Bis zum 15. Oktober 2026 sind keine Angriffe bekannt, die US-Behörde CISA führt die Lücke nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Die Lücke steht damit auf der Stufe Patch verfügbar.