Ein Bildoptimierer mit mehr als 200.000 aktiven Installationen konnte beim Umbenennen einer Mediendatei beliebige Dateien vom Server löschen, im ungünstigsten Fall die wp-config.php. Betroffen waren bei Optimole alle Versionen bis 4.2.19, Wordfence stuft die Sicherheitslücke mit 7,1 von 10 Punkten als hoch ein. Der Angriff braucht die Mithilfe eines Administrators und eine bestimmte PHP-Bibliothek auf dem Server, ab Version 4.2.20 vom 12. November liegt das Plugin außerhalb des betroffenen Bereichs.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Wordfence hat für das WordPress-Plugin Optimole eine Sicherheitslücke zum Löschen beliebiger Dateien gemeldet, die US-Datenbank NVD führt sie seit dem 14. November als CVE-2026-124969.[1] Schon am 8. November hatte Dr. Web über drei andere Sicherheitslücken im selben Plugin berichtet, damals ging es um eingeschleuste Skripte.
Das Wichtigste in Kürze
- Betroffen sind alle Versionen bis 4.2.19, Version 4.2.20 vom 12. November liegt laut NVD-Eintrag außerhalb des betroffenen Bereichs.
- Ein Angreifer braucht kein Konto, aber einen Administrator, der die Umbenennung einer Mediendatei auslöst, und die PHP-Bibliothek PEAR Archive_Tar auf dem Server.
- Angriffe und öffentlicher Exploit-Code sind bis zum 15. November nicht belegt, im Katalog der CISA für ausgenutzte Schwachstellen steht der Eintrag nicht.
- Das Änderungsprotokoll von 4.2.20 nennt die Kennung nicht und spricht nur von „Enhanced security“.
Wie kann ein Bildoptimierer Dateien löschen?
Optimole tauscht Bilder gegen Varianten aus dem eigenen Auslieferungsnetz aus und bietet auch eine Funktion zum Umbenennen von Medien. Dabei ersetzt das Plugin Verweise auf die alte Datei in den gespeicherten Daten der Website. Genau hier prüft es laut Eintrag den Dateipfad nicht ausreichend, deshalb lassen sich beliebige Dateien auf dem Server löschen. Wordfence nennt die wp-config.php als Beispiel und schreibt, die Folge könne leicht in Codeausführung münden.[1]
Die Hürden sind hoch. Der Angreifer legt vorab eine präparierte Eingabe ab, etwa in einem Kommentar. Danach muss ein Administrator bei irgendeiner Mediendatei die Umbenennen-Funktion nutzen. Zusätzlich muss auf dem Server die Bibliothek Archive_Tar aus dem PHP-Paket PEAR ladbar sein, was laut Eintrag in den offiziellen WordPress-Docker-Images und vielen PHP-Distributionen der Fall ist.[1] Der Vektor (CVSS 3.1: 7,1, vergeben von Wordfence) verlangt deshalb eine Benutzerinteraktion.[1] Den genauen Ablauf beschreibt der Eintrag nicht. Die Kombination aus vorab abgelegten Daten und einer geladenen Bibliothek passt zum Muster der PHP-Objekt-Injection, bei der gespeicherte Daten als Programmobjekt eingelesen werden. Das ist eine Einordnung der Redaktion, der Eintrag formuliert sie nicht so.
Am 15. November liefen laut wordpress.org 70,4 Prozent der Installationen auf der Reihe 4.2, 7,4 Prozent auf 3.13, 5,8 Prozent auf 4.0 und 16,4 Prozent auf andere Reihen.[2] Die Reihen 3.13 und 4.0 liegen vollständig unter 4.2.20, rechnerisch sind das 13,2 Prozent von mehr als 200.000, also mindestens rund 26.000 Installationen. In der Reihe 4.2 stecken betroffene Versionen bis 4.2.19 ebenso wie die aktuelle 4.2.20, die Statistik trennt sie nicht.
Warum ist eine gelöschte Konfigurationsdatei so gefährlich?
Fehlt die wp-config.php, startet WordPress den Installationsassistenten. Ein Angreifer, der die Seite dann erreicht, kann sie mit einer eigenen Datenbank neu aufsetzen, sich ein Administratorkonto anlegen und über ein hochgeladenes Plugin Code ausführen. Das Löschen einer einzigen Datei genügt also, um aus einer Fehlfunktion eine Übernahme zu machen. Diese Klasse tauchte binnen einer Woche mehrfach auf: Bei NextGEN Gallery konnten Konten mit Galerie-Recht beliebige Dateien löschen, bei Everest Forms gelang das sogar ohne Anmeldung im Upload-Ordner.
Der Stand von Optimole auf der Leiter von der Offenlegung bis zur Angriffswelle: Patch verfügbar, Ausnutzung nicht belegt, Exploit-Code nicht öffentlich. Weil die Hürden hoch sind, bleibt das Risiko für die meisten Seiten gering. Das Risiko wächst mit jedem Administrator, der Medien ohne Update umbenennt.
Voraussetzungen für einen Angriff
Auf welchen Versionsreihen die Installationen liefen
Orange: Reihen 3.13 und 4.0, durchweg vor 4.2.20, zusammen 13,2 Prozent. Die Reihe 4.2 enthält betroffene Versionen (bis 4.2.19) und die aktuelle 4.2.20. Die Statistik von wordpress.org zeigt Anteile je Versionsreihe, nicht je Einzelversion.
Eine Umbenennen-Funktion darf keine Dateien löschen. Dass ein Administrator mitspielen muss, ersetzt keine Pfadprüfung.
Michael Dobler, Herausgeber Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Optimole 4.2.20 oder neuer ein und schalten Sie automatische Updates für das Plugin ein.
- Umbenennen meiden: Nutzen Sie die Funktion zum Umbenennen von Medien erst nach dem Update und sichten Sie bis dahin auffällige Kommentare.
- Dateien kontrollieren: Prüfen Sie, ob die wp-config.php und die übrigen Kerndateien vorhanden sind. Zeigt die Seite den Installationsassistenten, liegt ein Notfall vor.
- Sicherung bereithalten: Eine aktuelle Kopie außerhalb des Servers macht aus einer gelöschten Datei eine Sache von Minuten.
Agenturen mit vielen Kundenseiten filtern ihre Update-Werkzeuge nach dem Plugin und allen Versionen bis 4.2.19. Läuft auf einer betroffenen Seite ein Shop oder ein Kundenbereich, prüfen Betreiber bei Verdacht auf einen erfolgreichen Angriff die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden nach Bekanntwerden gilt. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Die Checkliste zur WordPress-Wartung hilft beim Update-Rhythmus. Im WordPress-Hosting-Vergleich finden Betreiber Anbieter, die den Betrieb übernehmen.
FAQ: Schwere Sicherheitslücke bei Optimole
Welche Version von Optimole ist sicher?
Betroffen sind laut NVD alle Versionen bis 4.2.19. Version 4.2.20 vom 12. November 2026 liegt außerhalb des betroffenen Bereichs. Das Änderungsprotokoll nennt die Kennung nicht ausdrücklich, prüfen Sie im Plugin-Bereich, welche Version läuft.
Braucht ein Angreifer ein Konto auf der Website?
Nein, aber die Mithilfe eines Administrators. Laut NVD legt der Angreifer vorab eine präparierte Eingabe ab, danach muss ein Administrator bei einer Mediendatei die Umbenennen-Funktion nutzen. Außerdem muss die PHP-Bibliothek Archive_Tar ladbar sein.
Wird die Sicherheitslücke schon ausgenutzt?
Angriffe sind bis zum 15. November 2026 nicht belegt. Ein Eintrag im Katalog der CISA für ausgenutzte Schwachstellen fehlt, öffentlichen Exploit-Code nennt keine der geprüften Quellen.
Warum ist das Löschen der wp-config.php gefährlich?
Fehlt die Datei, startet WordPress den Installationsassistenten. Ein Angreifer kann die Seite dann mit eigener Datenbank neu aufsetzen und Code einschleusen. Eine Sicherung außerhalb des Servers begrenzt den Schaden.
Quellen
2 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-124969, veröffentlicht am 14. November 2026, meldende Stelle Wordfence; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 15. November 2026
- wordpress.orgOptimole, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 15. November 2026
