Fremde konnten über das Bildoptimierungs-Plugin Optimole Skripte in Seiten einschleusen, die danach im Browser der Besucher laufen. Ein Konto auf der Website brauchten sie dafür nicht. Das Plugin zählt mehr als 200.000 aktive Installationen, die aktuelle Version 4.2.19 vom 4. November ist die erste, die in den Einträgen nicht mehr als betroffen steht.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Drei Einträge der US-Datenbank NVD betreffen das WordPress-Plugin Optimole. Sie sind seit dem 7. November als CVE-2026-119070, CVE-2026-120677 und CVE-2026-120739 veröffentlicht, meldende Stelle ist Wordfence.[1] Betroffen sind laut den Einträgen alle Versionen bis 4.2.17 (CVE-2026-119070) beziehungsweise bis 4.2.18 (die anderen beiden).[1] Laut wordpress.org hat das Plugin mehr als 200.000 aktive Installationen, Version 4.2.19 erschien am 4. November.[2] Alle drei Einträge bewertet Wordfence mit 7,2 von 10 Punkten (CVSS 3.1, Stufe hoch).[1]
Das Wichtigste in Kürze
- Ein Angreifer braucht laut Wordfence kein Konto: Das eingeschleuste Skript wird in der Seite gespeichert und läuft bei jedem Besucher.
- Zwei der drei Einträge nennen Voraussetzungen, etwa einen von Administratoren freigegebenen Kommentar. Beim dritten steht die Hürde der Schnittstelle laut Eintrag nur auf dem Papier.
- Das Änderungsprotokoll von Version 4.2.19 nennt nur „Enhanced security“ und „Updated dependencies“. Welche Zeile welchen Eintrag schließt, benennt der Hersteller nicht.
- Angriffe und öffentlicher Exploit-Code sind nicht belegt.
Warum ist ein Bildoptimierer ein Einfallstor?
Optimole tauscht Bilder und Videos im fertigen HTML jeder Seite gegen Varianten aus, die über das eigene Auslieferungsnetz kommen. Das Plugin schreibt also die Seite um, bevor Besucher sie sehen. Was dabei aus Eingaben von Besuchern stammt, etwa Kommentare, läuft durch dieselben Bausteine. Behandelt einer davon einen Teil davon als Code, ist die Folge ein gespeichertes Cross-Site-Scripting: Das Skript liegt dauerhaft in der Seite und läuft bei jedem Aufruf im Browser, bei einem Administrator mit dessen Rechten.
Beim ersten Eintrag, CVE-2026-119070, beschreibt Wordfence einen besonders unangenehmen Weg: Der gespeicherte Kommentar enthält beim Speichern keine Zeichen, auf die die Bereinigung von WordPress anspringt. Die gefährlichen Zeichen entstehen erst, wenn Optimole den Text beim Ausliefern der Seite decodiert.[1] Voraussetzung ist der Normalzustand: Das Plugin ist mit dem Optimole-Konto verbunden und der Bildersetzer aktiv, was laut Eintrag der Standard nach der Einrichtung ist.[1]
Der zweite Eintrag, CVE-2026-120677, verlangt, dass ein Administrator den Kommentar freigibt und der betroffene Beitrag mindestens einen Video- oder iframe-Block enthält. Das ist laut Wordfence bei der Standardeinstellung mit aktiviertem Lazy Loading für Videos erfüllt.[1] Beim dritten, CVE-2026-120739, liegt die Signatur, die die Schnittstelle des Plugins prüft, laut Eintrag im Klartext im Code von Seiten mit unvollständigem Profil. Die vorgesehene Hürde ist damit für jeden Besucher lesbar.[1] Das Änderungsprotokoll nennt keine Entdecker, die Wordfence-Seiten zu den Einträgen waren beim Abruf nicht erreichbar.
Am 8. November liefen 13,3 Prozent der Installationen auf den Reihen 3.13 und 4.0, rechnerisch rund 27.000 von mehr als 200.000. Diese Reihen liegen vollständig unter den betroffenen Grenzen. Weitere 70,2 Prozent nutzten die Reihe 4.2, darin stecken sowohl die betroffenen Versionen bis 4.2.18 als auch die aktuelle 4.2.19; die Statistik trennt die Einzelversionen nicht. Auf andere Reihen entfielen 16,5 Prozent.[2]
Ist das ein Einzelfall?
Nein. Gespeichertes Cross-Site-Scripting ohne Anmeldung war in dieser Woche mehrfach Thema: bei TranslatePress am Samstag, am Freitag bei iubenda, beide Plugins ebenfalls mit Umbau des fertigen HTML-Codes. Besucherinhalte als Einfallstor gab es schon bei Prime Slider und bei CleanTalk.
Der Stand: Patch verfügbar, Exploit-Code nicht öffentlich, Angriffe nicht belegt. Im Katalog der CISA für ausgenutzte Schwachstellen stehen die drei Einträge nicht, abgeglichen am 8. November.[1]
Vom Update bis zum NVD-Eintrag
Auf welchen Versionsreihen die Installationen liefen
Orange: Reihen 3.13 und 4.0, durchweg vor 4.2.19, zusammen 13,3 Prozent. Die Reihe 4.2 enthält betroffene Versionen (bis 4.2.18) und die aktuelle 4.2.19. Die Statistik von wordpress.org zeigt Anteile je Versionsreihe, nicht je Einzelversion.
Wer Seiten vor der Auslieferung umbaut, sieht auch alles, was Besucher hineinschreiben. Dann muss es dieses Material als Text behandeln und nie als Code.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Optimole 4.2.19 oder neuer ein und schalten Sie automatische Updates für das Plugin ein.
- Kommentare sichten: Prüfen Sie freigegebene und wartende Kommentare auf auffällige Einträge, löschen Sie Verdächtiges und leeren Sie danach den Seiten-Cache.
- Freigabe verschärfen: Geben Sie Kommentare übergangsweise nur nach genauer Sichtung frei, besonders auf Seiten mit Videos.
- Konten kontrollieren: Ein Skript im Browser eines Administrators handelt mit dessen Rechten. Suchen Sie in der Benutzerliste nach unbekannten Administratoren und prüfen Sie kürzlich geänderte Plugin- und Theme-Dateien. Bei Verdacht setzen Sie Passwörter zurück und beenden alle Sitzungen.
Agenturen mit vielen Kundenseiten filtern ihre Update-Werkzeuge nach dem Plugin und allen Versionen bis 4.2.18. Läuft auf einer betroffenen Seite ein Shop oder ein Formular mit Kundendaten, prüfen Betreiber bei Verdacht auf einen erfolgreichen Angriff die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden nach Bekanntwerden gilt. Hinweise zu schlanken Bildern ohne zusätzliche Plugins gibt der Ratgeber Bilder komprimieren. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, im WordPress-Hosting-Vergleich finden Betreiber Anbieter, die den Betrieb übernehmen.
FAQ: Schwere Sicherheitslücke bei Optimole
Welche Version von Optimole ist sicher?
Die aktuelle Version 4.2.19 vom 4. November 2026 steht in keinem der drei Einträge als betroffen. Betroffen sind laut NVD alle Versionen bis 4.2.18. Prüfen Sie im Plugin-Bereich Ihres WordPress, welche Version läuft.
Braucht ein Angreifer ein Konto auf der Website?
Nein. Laut Wordfence kann ein Unbekannter ohne Anmeldung Skripte einschleusen. Beim Eintrag CVE-2026-120677 muss zusätzlich ein Administrator den Kommentar freigeben, beim Eintrag CVE-2026-119070 muss das Plugin mit dem Optimole-Konto verbunden sein.
Wird die Sicherheitslücke schon ausgenutzt?
Angriffe sind bis zum 8. November 2026 nicht belegt. Ein Eintrag im Katalog der CISA für ausgenutzte Schwachstellen fehlt, öffentlichen Exploit-Code nennt keine der geprüften Quellen.
Reicht es, Kommentare von Hand freizugeben?
Nur als Übergang. Die Handfreigabe erschwert den Weg über Kommentare, schließt ihn aber nicht, denn ein Eintrag verlangt die Freigabe sogar ausdrücklich. Auch der Weg über die Schnittstelle bleibt offen, deshalb bleibt das Update nötig.
Quellen
2 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-119070, CVE-2026-120677 und CVE-2026-120739, veröffentlicht am 7. November 2026; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 8. November 2026
- wordpress.orgOptimole, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 8. November 2026
Mehr Newshunger?
- Schwere Sicherheitslücke bei TranslatePress
- Schwere Sicherheitslücke bei iubenda im Cookie-Plugin
- Prime Slider mit über 100.000 Installationen: Schwere Sicherheitslücke öffnet die Kommentarspalte für Schadcode
- CleanTalk mit über 200.000 Installationen: fünfte Lücke ohne Login seit Juni
- WP Fastest Cache mit über 1 Million Installationen: Cache legte Zugangsdaten neuer Nutzer offen
