Wegen eines Tippfehlers können sich Fremde in Qode Membership bis Version 2.0.6.2 ohne Passwort als Administrator anmelden. Das Plugin liegt dem Theme Bridge bei, das laut ThemeForest mehr als 224.000 Mal verkauft wurde. Wordfence bewertet die am 26. Oktober offengelegte Sicherheitslücke mit 9,8 von 10 Punkten, Version 2.0.6.3 schließt sie.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenHinter der Sicherheitslücke stecken vier überzählige Buchstaben: Mitten in einem Variablennamen des Plugins steckt der Firmenname Qode. Die Prüfung, ob eine Anmeldung über Facebook echt ist, läuft dadurch ins Leere. Entdeckt hat den Fehler ein Sicherheitsforscher mit dem Pseudonym 0xwackydawg, Wordfence führt ihn als CVE-2026-92885.[1]
Das Wichtigste in Kürze
- In Qode Membership bis 2.0.6.2 genügt der Benutzername eines Administrators, um dessen Konto zu übernehmen (CVSS 3.1: 9,8, vergeben von Wordfence).
- Laut Wordfence behebt Version 2.0.6.3 die Sicherheitslücke, das Update kommt nicht über wordpress.org.
- Das Plugin gehört zum Theme Bridge mit mehr als 224.000 Verkäufen auf ThemeForest.
- Bis zum 27. Oktober sind keine Angriffe bekannt.
Warum genügt der Benutzername eines Administrators zur Anmeldung?
Qode Membership bietet Formulare für Anmeldung und Registrierung, auch über ein Facebook-Konto. Bei der Facebook-Anmeldung soll das Plugin dort nachfragen, ob das mitgeschickte Zugangstoken echt ist. In der Bedingung davor steht wegen des Tippfehlers aber eine nicht definierte Variable. Die Rückfrage bei Facebook unterbleibt deshalb, und das Plugin meldet den Besucher als den Nutzer an, dessen Benutzernamen er mitschickt.[1]
Dass der Fehler im Betrieb nicht auffiel, liegt an einer Eigenheit von PHP. Die Funktion empty() wertet eine nicht vorhandene Variable als leer und gibt dabei keine Warnung aus.[2] Werkzeuge zur statischen Codeanalyse melden solche undefinierten Variablen dagegen. Neben dem Benutzernamen braucht ein Angreifer laut Wordfence nur ein Sicherheitstoken, das auf jeder öffentlichen Seite mit dem Anmelde- oder Registrierungsformular des Plugins steht.[1]
Wie viele Websites sind betroffen?
Qode Membership steht nicht im Plugin-Verzeichnis von wordpress.org, das aktive Installationen zählt. Das Theme Bridge wurde auf ThemeForest zuletzt am 17. Oktober aktualisiert.[3] 224.000 Verkäufe bedeuten nicht 224.000 aktive Websites, und nicht jede Bridge-Website nutzt das Mitglieder-Plugin. Dr. Web fand bis zum 27. Oktober kein öffentliches Änderungsprotokoll mit dem Datum von Version 2.0.6.3.
Für Betreiber zählt vor allem der Update-Weg: Premium-Erweiterungen beziehen ihre Updates vom Hersteller, nicht aus dem Verzeichnis von wordpress.org. Beim Avada Builder kam die Korrektur im Oktober nur bei Websites automatisch an, deren Lizenz beim Hersteller registriert ist. Im Mai hatte das Statistik-Plugin Burst Statistics dasselbe Fehlerbild: Wegen einer falsch ausgewerteten Prüfung genügte auch dort der Name eines Administrators.[4] Im Buchungs-Plugin LatePoint konnten Fremde im Oktober Kundenkonten ohne Anmeldung übernehmen.
Auf welcher Stufe steht die Sicherheitslücke?
Vier überzählige Buchstaben haben die Facebook-Prüfung ausgehebelt. Jede statische Codeanalyse hätte die Variable als undefiniert markiert.
Michael Dobler, Herausgeber Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Bringen Sie Qode Membership über das aktuelle Bridge-Paket auf Version 2.0.6.3 und prüfen Sie danach unter Plugins die Versionsnummer.
- Übergangsweise abschalten: Kommt das Update nicht an, deaktivieren Sie das Plugin oder nehmen Sie die Seiten mit seinen Anmelde- und Registrierungsformularen offline.
- Konten prüfen: Suchen Sie nach unbekannten Administratoren, neuen Plugins und geänderten Dateien. Ein neues Passwort allein hilft nicht.
- Benutzernamen verbergen: Administratoren sollten keine Beiträge unter ihrem Benutzernamen veröffentlichen, denn Autorenarchive verraten ihn.
- Datenschutz klären: Mitglieder-Plugins speichern Namen und E-Mail-Adressen. Nach einer Übernahme müssen Betreiber die Datenpanne meist binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33 DSGVO).[5]
Die US-Behörde CISA führt CVE-2026-92885 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen.[6] Agenturen mit vielen Bridge-Kunden sollten zuerst Websites mit offener Registrierung aktualisieren. Der Ratgeber zur WordPress-Sicherheit fasst die Grundregeln zusammen, der WordPress-Hosting-Vergleich gibt einen Überblick über Managed-Hoster mit Sicherheitsdiensten.
FAQ: Bridge-Theme: Kritische Sicherheitslücke im Mitglieder-Plugin macht Fremde zu Administratoren
Was ist Qode Membership?
Qode Membership ist ein Plugin des Herstellers Qode Interactive, das WordPress-Websites um Formulare für Anmeldung und Registrierung ergänzt, die auch ein Facebook-Konto akzeptieren. Das Plugin liegt dem Theme Bridge bei und steht nicht im Plugin-Verzeichnis von wordpress.org.
Welche Version von Qode Membership ist sicher?
Laut Wordfence schließt Version 2.0.6.3 die Sicherheitslücke CVE-2026-92885. Betroffen sind alle Versionen bis einschließlich 2.0.6.2. Das Update kommt über das Bridge-Paket des Herstellers, nicht über das Verzeichnis von wordpress.org.
Wird die Sicherheitslücke in Qode Membership schon ausgenutzt?
Bis zum 27. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-92885 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Seit Wordfence den Fehler am 26. Oktober beschrieben hat, kennen ihn aber auch Angreifer.
Woran erkenne ich, ob meine Website Qode Membership nutzt?
Öffnen Sie im WordPress-Backend die Seite Plugins und suchen Sie nach dem Eintrag Qode Membership. Dort steht auch die installierte Version.
Schützt ein neues Administrator-Passwort vor dem Angriff?
Nein. Der Angriff umgeht die Passwortprüfung vollständig, ein Angreifer braucht nur den Benutzernamen und ein öffentlich einsehbares Sicherheitstoken. Schützen kann nur das Update auf 2.0.6.3 oder das Abschalten des Plugins. Ein neues Passwort ist erst nach dem Update sinnvoll, falls Sie eine Übernahme vermuten.
Quellen
6 Quellen anzeigenQuellen ausblenden
- WordfenceQode Membership <= 2.0.6.2 – Authentication Bypass via Social Login, veröffentlicht am 26. Oktober 2026, aktualisiert am 27. Oktober 2026; dazu NVD: CVE-2026-92885
- PHP-Handbuchempty
- ThemeForestBridge, Verkaufszahl und letzte Aktualisierung, abgerufen am 27. Oktober 2026
- NVDCVE-2026-8181, veröffentlicht am 14. Mai 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 27. Oktober 2026
Mehr Newshunger?
- Kirki mit über 500.000 Installationen: Schwere Sicherheitslücke macht Abonnenten zu Administratoren
- GeoDirectory mit über 10.000 Installationen: Abonnenten konnten Dateien vom Server löschen
- Download Monitor mit über 80.000 Installationen: schwere Sicherheitslücke über präparierte Links
- GiveWP: 33 Sicherheitslücken seit Juli im Spenden-Plugin mit über 100.000 Installationen
- Royal MCP: Schwere Sicherheitslücke macht Vorschau-Links zum Admin-Zugang
- CleanTalk mit über 200.000 Installationen: schwere Sicherheitslücke im Spam-Scan
