Prime Mover mit über 10.000 Installationen: kritische Sicherheitslücke beim Backup

Michael Dobler

Autor Dr. Web

24. Okt. 2026

3 Min. Lesezeit

Bei Prime Mover genügt ein präparierter Kommentar, und die nächste Sicherung durch den Administrator setzt den Angriff in Gang. Das Werkzeug dafür liefert das Backup-Plugin in einer mitgelieferten Bibliothek gleich mit. Version 2.2.2 schließt die kritische Sicherheitslücke, laut wordpress.org läuft knapp die Hälfte der Installationen noch auf älteren Versionszweigen.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Am 24. Oktober erschien die Lücke CVE-2026-115806 in der US-Schwachstellendatenbank NVD, eingereicht vom Sicherheitsunternehmen Wordfence.^[1] Prime Mover vom Hersteller Codexonics hat laut wordpress.org mehr als 10.000 aktive Installationen (Stand 24. Oktober).^[2]

Auf einen Blick

Das Wichtigste in Kürze

Betroffen sind alle Versionen bis 2.2.1 (CVSS 3.1: 9,8, vergeben von Wordfence).
Der Angreifer braucht kein Konto, ausgelöst wird der Angriff erst beim Export oder bei einer Wiederherstellung.
Version 2.2.2 vom 19. Oktober behebt den Fehler.
Angriffe sind bis zum 24. Oktober nicht bekannt.

Wie läuft der Angriff auf Prime Mover ab?

Offener weißer Keramikkarton mit orangefarbenem Etui, Anhänger und Aufkleber auf Weiß — Angreifer nutzen WordPress-Kommentarformular, um manipulierte Inhalte einzuschleusen. Prime Mover deserialisiert diese ohne Überprüfung zu PHP-Objekten

Laut Wordfence schickt der Angreifer über das normale Kommentarformular einen präparierten Kommentar ab, ein Konto braucht er dafür nicht. Der Text bleibt in der Datenbank liegen, bis ein Administrator mit Prime Mover die Website exportiert oder wiederherstellt. Dann wandelt das Plugin den Kommentar ungeprüft in ein PHP-Objekt zurück, Entwickler nennen diesen Schritt Deserialisierung.^[1]

Gefährlich wird das durch eine mitgelieferte Bibliothek. Prime Mover enthält das Paket des Anbieters Freemius, über das viele kommerzielle Plugins Lizenzen und Updates abwickeln.^[3] Laut Wordfence stecken darin genau die Programmteile, mit denen das eingeschleuste Objekt Einstellungen von WordPress überschreibt, ein weiteres Plugin oder Theme braucht der Angreifer nicht. Wordfence bewertet die Folgen für Vertraulichkeit, Integrität und Verfügbarkeit jeweils als hoch.^[1]

Warum sind Umzugs-Plugins so oft betroffen?

Beim Umzug auf eine neue Adresse müssen Plugins wie Prime Mover die alte Domain in der ganzen Datenbank ersetzen. WordPress speichert viele Einstellungen als serialisierte PHP-Daten, die das Plugin dafür entpackt und neu verpackt. So gerät auch Text von Fremden in die Deserialisierung. Erst am 21. Oktober traf dieselbe Art von Lücke den Konkurrenten Duplicator, auch dort reichte ein Kommentar.

Version 2.2.2 lässt laut Programmcode nur noch einfache Standardobjekte zu und bringt eine neue Freemius-Fassung mit.^[4] Für Prime Mover ist das die zweite Runde in einem Monat: Am 1. Oktober veröffentlichte die NVD drei Lücken, die nur Administratoren ausnutzen konnten und die Version 2.2.1 geschlossen hatte.^[5] Laut der Versionsstatistik von wordpress.org liefen am 24. Oktober 49 Prozent der Installationen auf den Zweigen 2.1 und älter, rechnerisch rund 4.900 Websites mit einer anfälligen Version.^[2]

Prime-Mover-Sicherheitslücke im Steckbrief

Reichweite, Schweregrad und Chronologie, Stand 24. Oktober 2026

10.000

aktive Installationen und mehr zählt wordpress.org

9,8

Punkte nach CVSS 3.1 vergibt Wordfence, ein Konto braucht der Angreifer nicht

49 %

der Installationen laufen auf den Versionszweigen 2.1 und älter

2.2.2

ist die erste Version, die fremde Objekte nicht mehr zurückverwandelt

Zwei Runden in einem Monat

1. Oktober

Drei Lücken

Die NVD veröffentlicht drei Lücken, die nur Administratoren ausnutzen konnten und die Version 2.2.1 bereits geschlossen hatte

19. Oktober

Version 2.2.2

Codexonics beschränkt die Deserialisierung auf einfache Standardobjekte und aktualisiert die Freemius-Bibliothek

24. Oktober

Veröffentlichung

CVE-2026-115806 erscheint in der NVD, Angriffe sind nicht bekannt

Ein Backup-Plugin, das fremde Kommentare ungeprüft in PHP-Objekte zurückverwandelt, macht die Vorsorge selbst zum Einfallstor.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie Prime Mover vor dem nächsten Export auf Version 2.2.2. Die installierte Version zeigt die Plugin-Übersicht im Dashboard.
Updates automatisieren: In WordPress schalten Sie automatische Updates für jedes Plugin einzeln ein, ab Werk ist die Funktion aus.^[6]
Kommentare sichten: Löschen Sie verdächtige wartende Kommentare, bevor Sie eine Sicherung oder einen Umzug zu einem neuen Hoster starten. WordPress speichert auch nicht freigegebene Kommentare in der Datenbank.
Einstellungen prüfen: Kontrollieren Sie nach Exporten der letzten Wochen die WordPress-Einstellungen und die Liste der Administratoren auf unbekannte Änderungen.
Melden: Gibt es Anzeichen einer Übernahme, prüfen Sie die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden Zeit lässt.^[7]

Agenturen, die Kunden-Websites regelmäßig auf Staging-Server klonen, aktualisieren Prime Mover vor dem nächsten Auftrag. Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen Plugin-Updates teils automatisch ein.

FAQ: Prime Mover mit über 10.000 Installationen: kritische Sicherheitslücke beim Backup

Was ist Prime Mover?

Prime Mover ist ein WordPress-Plugin für Backups und Website-Umzüge vom Hersteller Codexonics. Das Plugin packt eine Website in ein Paket, das sich auf einem anderen Server oder unter einer neuen Adresse wiederherstellen lässt. Laut wordpress.org zählt Prime Mover mehr als 10.000 aktive Installationen.

Welche Version von Prime Mover ist sicher?

Sicher ist Version 2.2.2 vom 19. Oktober 2026 oder neuer. Betroffen sind alle Versionen bis einschließlich 2.2.1. Version 2.2.2 lässt beim Entpacken gespeicherter Daten nur noch einfache Standardobjekte zu und enthält eine neue Fassung der Freemius-Bibliothek.

Was ist eine PHP-Objekt-Injektion?

Bei einer PHP-Objekt-Injektion wandelt eine Anwendung gespeicherten Text ungeprüft zurück in PHP-Objekte. Ein Angreifer kann so Objekte unterschieben, deren eingebaute Funktionen beim Laden Aktionen auslösen, etwa Einstellungen überschreiben oder Dateien verändern.

Wird die Prime-Mover-Sicherheitslücke schon ausgenutzt?

Bis zum 24. Oktober 2026 wurden keine Angriffe gemeldet. Die US-Behörde CISA führt CVE-2026-115806 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Weil die Beschreibung in der NVD den Ablauf nennt, ist ein schnelles Update ratsam.