Password Protected mit über 300.000 Installationen: Sicherheitslücke im Freemius-Paket trifft weitere Plugins

Markus Seyfferth

Autor Dr. Web

29. Okt. 2026

4 Min. Lesezeit

Ein Konto als Abonnent genügte, um Administratoren von WordPress-Websites mit dem Plugin Password Protected Schadcode unterzuschieben. Die Sicherheitslücke steckt im mitgelieferten Programmpaket des Anbieters Freemius, über das viele kommerzielle Plugins Lizenzen und Updates abwickeln. Version 2.8.5 vom 26. Oktober schließt sie, bei anderen Plugins mit demselben Paket fehlt die Korrektur noch.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Acht von 34 geprüften Plugins mit mindestens 10.000 Installationen enthalten noch die anfällige Fassung des Freemius-Pakets. Das ergab eine Stichprobe von Dr. Web am 29. Oktober im Plugin-Verzeichnis von wordpress.org. Seit demselben Tag führt die US-Schwachstellendatenbank NVD die Lücke in Password Protected mit über 300.000 aktiven Installationen unter der Kennung CVE-2026-93293. Wordfence vergab einen CVSS-3.1-Wert von 6,4.^[1]

Auf einen Blick

Das Wichtigste in Kürze

Password Protected bis 2.8.4 lässt angemeldete Abonnenten Skripte in den Admin-Bereich einschleusen (CVSS 3.1: 6,4, Wordfence).
Ursache ist das Freemius-Paket bis Version 2.13.4. Freemius hat am 22. Oktober die korrigierte Fassung 2.13.5 freigegeben und stuft die Lücke selbst mit hohem Schweregrad ein.
Ausnutzbar ist die Lücke nur, wenn der Administrator der Datenübermittlung an Freemius zugestimmt hat.
Password Protected 2.8.5 und FiboSearch 1.34.3 enthalten die Korrektur, acht Plugins der Stichprobe noch nicht.

Wie gelangt das Skript in den Admin-Bereich?

Weiße Kartons mit orangefarbenen Vierecken in einer Reihe, ein Karton mit Pflaster — Freemius-Paket speichert ungeprüft Tarifnamen aus der Adresszeile in der Datenbank, ohne Sicherheitstoken oder Kaufverifizierung

Das Freemius-Paket meldet nach einem Lizenzkauf im Backend, welcher Tarif gekauft wurde. Laut Wordfence übernahm es den Tarifnamen dabei ungeprüft aus der Adresszeile: ohne Rechteprüfung, ohne Sicherheitstoken und ohne Abgleich mit einem echten Kauf. Der Text landete als dauerhafter Hinweis in der Datenbank, sichtbar für die ganze Website.^[1]

Öffnet ein Administrator danach eine gewöhnliche Seite im Backend, etwa sein Profil, läuft das eingeschleuste Skript automatisch in seinem Browser. Es kann dann in seinem Namen Einstellungen ändern oder Konten anlegen. Wordfence nennt als Voraussetzung ein Konto ab der Rolle Abonnent. Freemius beschreibt zusätzlich einen Weg ohne Konto über einen präparierten Link.^[3] Beides setzt voraus, dass der Administrator beim Einrichten des Plugins der Datenübermittlung an Freemius zugestimmt hat.

Warum steckt dieselbe Lücke in vielen Plugins?

Über Freemius verkaufen Hersteller Lizenzen für ihre Plugins und Themes und binden dafür das Paket des Anbieters ein. Jedes Plugin bringt seine eigene Kopie mit. Laut Quellcode lädt WordPress zur Laufzeit die neueste Kopie aller aktiven Freemius-Plugins.^[4] Geschützt ist eine Website deshalb erst, wenn mindestens eines davon die Fassung 2.13.5 mitbringt. Wer ausschließlich Plugins mit älterem Paket einsetzt, bleibt anfällig.

FiboSearch, eine Produktsuche für WooCommerce mit über 100.000 Installationen, spielte die Korrektur schon am 8. Oktober ein. Wordfence führt die Lücke dort als CVE-2026-100106.^[2] In der Stichprobe von Dr. Web fehlte sie unter anderem bei WP Mobile Menu (über 70.000 Installationen) und bei All In One Login (über 60.000). All In One Login stammt laut wordpress.org vom selben Entwickler wie Password Protected und erhielt am 26. Oktober ein Update, allerdings mit dem alten Paket.^[5] Neu ist das Muster nicht: Im Juli 2023 meldete Patchstack eine Lücke im selben Hinweis-Mechanismus von Freemius, betroffen waren damals über 1.000 Plugins und mehr als 50 Themes.^[6]

Die Freemius-Lücke im Steckbrief

Stored Cross-Site Scripting im Freemius-Paket bis Version 2.13.4, Stand am 29. Oktober 2026

über 300.000

aktive Installationen von Password Protected, betroffen bis Version 2.8.4

6,4

von 10 Punkten im CVSS 3.1 laut Wordfence, Freemius selbst stuft die Lücke als hoch ein

2.13.5

heißt die korrigierte Fassung des Pakets, freigegeben am 22. Oktober

8 von 34

geprüften Plugins ab 10.000 Installationen enthalten noch die anfällige Fassung

Stichprobe: Plugins mit anfälligem Freemius-Paket

Plugin	Installationen	Paket
WP Mobile Menu	über 70.000	2.13.4
All In One Login	über 60.000	2.13.4
MapGeo – Interactive Geo Maps	über 30.000	2.13.4
HTML5 Video Player	über 20.000	2.13.4
Image Photo Gallery Final Tiles Grid	über 20.000	2.9.0
Iks Menu	über 10.000	2.13.0
Fuse Social Icons	über 10.000	2.13.2
Disable Bloat for WordPress & WooCommerce	über 10.000	2.13.4

Aktuelle Version jedes Plugins im Verzeichnis von wordpress.org am 29. Oktober 2026, anfälliger Programmteil im Quellcode jeweils nachgewiesen. Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt.

Wer fremden Code in sein Plugin packt, muss dessen Sicherheitsupdates so schnell weitergeben wie die eigenen.
Michael Dobler, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Spielen Sie Password Protected 2.8.5 und FiboSearch 1.34.3 ein und prüfen Sie unter Plugins, ob automatische Updates aktiv sind.
Freemius-Plugins finden: Plugins mit dem Paket bitten beim Aktivieren um Zustimmung zur Datenübermittlung an Freemius. Im Plugin-Ordner liegt dann ein Unterordner „freemius“, die Datei start.php darin nennt die Version.
Hinweise prüfen: Eine Bestätigung über einen Lizenzkauf, den niemand getätigt hat, ist ein Warnzeichen. Kontrollieren Sie in diesem Fall die Liste der Administratoren und die zuletzt geänderten Einstellungen.
Vorübergehend absichern: Fehlt ein Update, schließen Sie vorübergehend die offene Registrierung, damit keine neuen Abonnenten-Konten entstehen.
Meldepflicht klären: Ist ein Administratorkonto betroffen, prüfen Sie, ob eine Meldung binnen 72 Stunden nötig ist (Art. 33 DSGVO).^[7]

Bei Password Protected liefen am 29. Oktober laut wordpress.org mindestens 36 Prozent der Installationen mit Versionen vor 2.8.^[5] Angriffe sind bisher nicht bekannt, die US-Behörde CISA führt keine der beiden Kennungen in ihrem Katalog aktiv ausgenutzter Schwachstellen. Agenturen mit vielen Kundenwebsites prüfen zuerst Installationen mit offener Registrierung. Vor wenigen Tagen fiel Freemius schon im Backup-Plugin Prime Mover auf, dort als Werkzeug für einen Angriff über eine andere Lücke. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.

FAQ: Password Protected mit über 300.000 Installationen: Sicherheitslücke im Freemius-Paket trifft weitere Plugins

Welche Versionen von Password Protected sind betroffen?

Wordfence führt alle Versionen bis 2.8.4 als anfällig. Version 2.8.5 vom 26. Oktober 2026 bringt das korrigierte Freemius-Paket 2.13.5 mit. Welche Version läuft, zeigt die Plugin-Liste im WordPress-Backend.

Braucht ein Angreifer ein Konto auf der Website?

Laut Wordfence genügt ein Konto als Abonnent. Freemius beschreibt zusätzlich einen Weg ohne Konto über einen präparierten Link. In beiden Fällen muss der Administrator vorher der Datenübermittlung an Freemius zugestimmt haben.

Wird die Freemius-Lücke schon ausgenutzt?

Bis zum 29. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt weder CVE-2026-93293 noch CVE-2026-100106 in ihrem Katalog aktiv ausgenutzter Schwachstellen.

Reicht es, ein einziges Freemius-Plugin zu aktualisieren?

Laut Quellcode lädt WordPress die neueste Kopie des Pakets aller aktiven Freemius-Plugins. Ein aktualisiertes Plugin schützt damit auch die übrigen. Verlassen sollten Sie sich darauf nicht: Deaktivieren Sie es, fällt der Schutz weg.