Royal MCP: Schwere Sicherheitslücke macht Vorschau-Links zum Admin-Zugang

Michael Dobler

Autor Dr. Web

24. Okt. 2026

3 Min. Lesezeit

Für Claude, ChatGPT und andere KI-Anwendungen erzeugt Royal MCP Links, über die sich Entwürfe vorab ansehen lassen. Bis Version 1.5.6 öffnete ein solcher Link in der Grundeinstellung die ganze Programmierschnittstelle der Website mit Administratorrechten. Version 1.5.7 schließt die schwere Sicherheitslücke, knapp ein Drittel der Installationen läuft laut wordpress.org noch auf dem älteren Versionszweig 1.4.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Mehr als 10.000 aktive Installationen zählt wordpress.org für Royal MCP (Stand 24. Oktober), ein Plugin des Herstellers Royal Plugins, das WordPress über das Model Context Protocol (MCP) mit KI-Anwendungen verbindet.^[2] Am 20. Oktober veröffentlichte die Schwachstellendatenbank WPScan die Lücke CVE-2026-111958, gemeldet vom Sicherheitsforscher Raphael P. Cigana.^[1]

Auf einen Blick

Das Wichtigste in Kürze

Betroffen sind alle Versionen vor 1.5.7 (CVSS 3.1: 7,5, vergeben von WPScan).
Der Angreifer braucht nur einen gültigen Vorschau-Link, kein eigenes Konto.
Version 1.5.7 vom 6. Oktober behebt den Fehler.
Angriffe sind nicht bekannt, Einzelheiten will WPScan am 20. November veröffentlichen.

Wie wird aus einem Vorschau-Link ein Generalschlüssel?

Oranger Schlüssel mit Anhänger „Nur Vorschau“ — Royal MCP erzeugt seit Version 1.4.41 Vorschau-Links zu Entwürfen, gültig 15 Minuten bis 24 Stunden, um KI-Anwendungen Zugriff ohne Anmeldung zu ermöglichen

Seit Version 1.4.41 vom 16. August erzeugt Royal MCP Vorschau-Links zu Entwürfen, die laut Änderungsprotokoll zum Weitergeben gedacht sind. Gültig ist ein solcher Link standardmäßig 15 Minuten, auf Wunsch bis zu 24 Stunden.^[3] Weil die normale Vorschau von WordPress eine Anmeldung im Browser verlangt, die KI-Anwendungen fehlt, meldete das Plugin jeden Aufruf mit gültigem Link als den Nutzer an, der den Link angefordert hatte.

Bis Version 1.5.6 galt diese Anmeldung laut WPScan für die gesamte REST-API, die Programmierschnittstelle von WordPress, ohne den dort üblichen Schutz vor gefälschten Anfragen. Da der Link in der Grundeinstellung einem Administrator gehört, spricht WPScan von einer vollständigen Übernahme der Website.^[1] Seit Version 1.5.7 gilt der Link laut Programmcode nur noch für die Vorschau selbst.^[3]

Warum sind KI-Anbindungen für WordPress so heikel?

Ein MCP-Plugin bündelt Rechte: Royal MCP bringt laut Beschreibung 109 Werkzeuge für WordPress und 150 für Erweiterungen wie WooCommerce oder Wordfence mit.^[2] Ein Schlüssel zu diesem Bündel wiegt so schwer wie das Administratorpasswort. Schon die Entwickler des Protokolls bezeichnen in ihrer Roadmap von Hand hinterlegte API-Schlüssel und dauerhaft gültige Token als Problem. Bei einer Analyse des Sicherheitsanbieters Canopii fiel jeder vierzehnte MCP-Server durch. Wie teuer ein Fernwartungsschlüssel werden kann, zeigte im Oktober der Fall UpdraftPlus: Ein Angreifer installierte mit erbeuteten Schlüsseln Hintertüren auf WordPress-Websites.

Für das erst im Januar gestartete Plugin ist das schon die vierte Sicherheitslücke seit Juni. Vor Version 1.4.26 konnten etwa Abonnenten über die KI-Werkzeuge private Inhalte lesen und alle Nutzer auflisten.^[4] Laut wordpress.org liefen am 24. Oktober 32 Prozent der Installationen auf dem Zweig 1.4, rechnerisch mehr als 3.000 Websites mit einer Version vor 1.5.7.^[2]

Royal-MCP-Sicherheitslücke im Steckbrief

Reichweite, Schweregrad und Chronologie, Stand 24. Oktober 2026

10.000

aktive Installationen und mehr zählt wordpress.org

7,5

Punkte nach CVSS 3.1 vergibt WPScan, Stufe hoch

32 %

der Installationen laufen noch auf dem Versionszweig 1.4, also vor Version 1.5.7

24 h

bleibt ein Vorschau-Link höchstens gültig, ab Werk gelten 15 Minuten

Vom Vorschau-Link zur Veröffentlichung der Lücke

16. August

Version 1.4.41

Royal MCP erzeugt erstmals Vorschau-Links, die sich an andere weitergeben lassen

6. Oktober

Version 1.5.7

Der Link gilt nur noch für die Ansicht des Entwurfs, nicht mehr für die REST-API

20. Oktober

Veröffentlichung

WPScan macht CVE-2026-111958 öffentlich, Angriffe sind nicht bekannt

20. November

Angriffsdetails

WPScan will dann zeigen, wie sich die Lücke ausnutzen lässt

Royal MCP hat einen Link zum Weitergeben gebaut, der die Rechte des Administrators gleich mitlieferte.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie Royal MCP auf Version 1.5.7 oder neuer, aktuell ist 1.5.11 vom 22. Oktober.
Updates automatisieren: In WordPress schalten Sie automatische Updates für jedes Plugin einzeln ein, ab Werk ist die Funktion aus.^[5]
Zugriffe begrenzen: Seit Version 1.5.7 lassen sich verbundene KI-Anwendungen einzeln abmelden, seit 1.5.9 bekommt jede Verbindung eine eigene Zugriffsstufe bis hin zu „nur Lesen“.^[3]
Melden: Finden Sie unbekannte Administratoren oder geänderte Einstellungen, prüfen Sie die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden Zeit lässt.^[6]

Agenturen, die Kunden-Websites mit KI-Anwendungen pflegen, gleichen vor dem nächsten Auftrag die Versionen aller Installationen ab. Wie WordPress den Zugriff von KI-Agenten selbst regeln will, steht im Beitrag zum MCP-Adapter von WordPress 7.0, Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen Plugin-Updates teils automatisch ein.

FAQ: Royal MCP: Schwere Sicherheitslücke macht Vorschau-Links zum Admin-Zugang

Was ist Royal MCP?

Royal MCP ist ein WordPress-Plugin des Herstellers Royal Plugins, das eine Website über das Model Context Protocol mit KI-Anwendungen wie Claude oder ChatGPT verbindet. Per KI-Anwendung lassen sich damit Beiträge schreiben und Einstellungen ändern. Laut wordpress.org hat Royal MCP mehr als 10.000 aktive Installationen.

Welche Version von Royal MCP ist sicher?

Sicher ist Version 1.5.7 vom 6. Oktober 2026 oder neuer, aktuell ist Version 1.5.11. Betroffen sind laut WPScan alle Versionen vor 1.5.7. Seit 1.5.7 gilt ein Vorschau-Link nur noch für die Ansicht des Entwurfs und nicht mehr für die REST-API von WordPress.

Was kann ein Angreifer mit einem Vorschau-Link anrichten?

Mit einem gültigen Vorschau-Link konnte ein Angreifer bis Version 1.5.6 die REST-API mit den Rechten des Nutzers bedienen, der den Link angefordert hatte. In der Grundeinstellung ist das ein Administrator, also lassen sich Beiträge, Nutzer und Einstellungen ändern. Ein eigenes Konto braucht der Angreifer nicht.

Wird die Royal-MCP-Sicherheitslücke schon ausgenutzt?

Bis zum 24. Oktober 2026 wurden keine Angriffe gemeldet. Die US-Behörde CISA führt CVE-2026-111958 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. WPScan will die Einzelheiten zum Angriff am 20. November 2026 veröffentlichen, bis dahin sollte das Update eingespielt sein.