Im Sicherheits-Plugin Security Optimizer von SiteGround ließ sich der Code für den zweiten Anmeldefaktor beliebig oft raten. Angreifer, die das Passwort eines Administrators kannten, konnten so dessen Konto übernehmen. Version 1.6.9 vom 14. Oktober schließt die Lücke, der Eintrag im Änderungsprotokoll erwähnt sie nicht.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die Sicherheitsdatenbank WPScan hat am 29. Oktober eine Lücke im WordPress-Plugin Security Optimizer öffentlich gemacht, betroffen sind alle Versionen vor 1.6.9. Laut wordpress.org läuft das Plugin des Hosters SiteGround auf über 1 Million Websites. WPScan bewertet CVE-2026-118185 mit 7,5 von 10 Punkten, die US-Behörde CISA kommt im CVE-Eintrag nach CVSS 3.1 auf denselben Wert.[1][2]
Das Wichtigste in Kürze
- Bis Version 1.6.8 begrenzte Security Optimizer nicht, wie oft ein Code für die Zwei-Faktor-Authentifizierung eingegeben werden durfte.
- Angreifer brauchen das Passwort eines Kontos, für das die Zwei-Faktor-Anmeldung eingerichtet ist. Danach lässt sich das Konto vollständig übernehmen.
- Angriffe sind bis zum 2. November nicht bekannt.[2]
Wie wurde aus dem zweiten Faktor ein Ratespiel?
Security Optimizer kann für Administratoren und Redakteure eine Zwei-Faktor-Anmeldung verlangen. Nach dem Passwort fragt das Plugin einen sechsstelligen Code aus einer Authenticator-App ab. Diese Abfrage zählte bis 1.6.8 keine Fehlversuche. Die Sperre nach zu vielen falschen Passwörtern, die das Plugin ebenfalls anbietet, griff beim Code nicht. Ein Angreifer mit gültigem Passwort konnte deshalb so lange Codes ausprobieren, bis einer passte.[1]
Ein Vergleich der Versionen 1.6.8 und 1.6.9 zeigt die Korrektur: Falsche Codes und falsche Backup-Codes zählen jetzt wie falsche Passwörter. Ist eine IP-Adresse gesperrt, prüft das Plugin keinen Code mehr. Zusätzlich beendet es vor der Code-Abfrage alle offenen Sitzungen des Kontos. Die Sperre setzt das Plugin bei der Installation auf fünf Fehlversuche. Ist sie in den Einstellungen abgeschaltet, bleibt auch 1.6.9 ohne Begrenzung.[3]
Die Lücke trifft damit weniger Websites, als die 7,5 Punkte vermuten lassen. Die Zwei-Faktor-Anmeldung ist nach der Installation nicht aktiv, und ohne bekanntes Passwort hilft das Raten nicht. Betroffen sind aber genau die Betreiber, die ihr Admin-Konto bewusst doppelt gesichert haben. Gerade bei Passwörtern aus Datenlecks soll der zweite Faktor greifen.
Zum zweiten Mal trifft es die Zwei-Faktor-Anmeldung
Schon im April 2022 hatte Wordfence zwei Lücken in derselben Funktion offengelegt. Damals hieß das Plugin noch SiteGround Security, bis Version 1.2.5 konnten Fremde die Zwei-Faktor-Anmeldung umgehen und sich als Administrator anmelden (9,8 Punkte).[4] Auch im Buchungs-Plugin LatePoint ließ sich im Oktober ein Code erraten: Dort ließ sich die Sperre nach zehn Fehlversuchen mit gleichzeitigen Anfragen umgehen.
Am 14. Oktober zählte wordpress.org 186.516 Downloads des Plugins, am Folgetag 92.418, sonst lagen die Tageswerte meist zwischen 1.500 und 20.000. Wie viele Websites noch eine Version vor 1.6.9 nutzen, verrät die Statistik nicht: 96 Prozent laufen auf der Reihe 1.6, die alle Versionen von 1.6.0 bis 1.6.9 umfasst.[2]
Vom ersten Fall bis zur Meldung
Betroffen sind nur Konten mit eingerichteter Zwei-Faktor-Anmeldung. Die Sperre nach Fehlversuchen wirkt auch in 1.6.9 nur, wenn sie in den Einstellungen aktiv ist.
Ein zweiter Faktor, den man beliebig oft raten darf, schützt kaum besser als das Passwort allein. Dass ausgerechnet ein Sicherheits-Plugin keine Fehlversuche zählte, ist Grund genug, die eigenen Einstellungen zu prüfen.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Version 1.6.9 ein und schalten Sie automatische Updates für das Plugin ein.
- Sperre prüfen: Kontrollieren Sie, ob die Begrenzung der Anmeldeversuche aktiv ist. Erst sie bremst das Raten der Codes.
- Konten kontrollieren: Suchen Sie nach unbekannten Administratoren und ändern Sie Passwörter, die in einem Datenleck aufgetaucht sein könnten.
Agenturen, die viele Kundenwebsites betreuen, filtern in ihren Update-Werkzeugen nach Installationen vor 1.6.9. Bei einem übernommenen Admin-Konto prüfen Betreiber die Meldepflicht nach Art. 33 DSGVO, denn darüber sind Kundendaten erreichbar. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Hoster, die Plugin-Updates selbst einspielen.
FAQ: Security Optimizer mit über 1 Million Installationen: Zwei-Faktor-Codes ließen sich beliebig oft raten
Welche Version von Security Optimizer ist sicher?
Version 1.6.9 vom 14. Oktober 2026 schließt die Lücke, die WPScan am 29. Oktober öffentlich gemacht hat. Alle Versionen vor 1.6.9 gelten als anfällig.
Ist jede Website mit Security Optimizer betroffen?
Nein. Die Lücke betrifft nur Konten, für die die Zwei-Faktor-Anmeldung des Plugins eingerichtet ist, das sind Administratoren und Redakteure. Außerdem muss der Angreifer das Passwort des Kontos bereits kennen.
Wird die Lücke schon ausgenutzt?
Bis zum 2. November 2026 sind keine Angriffe bekannt. Die US-Behörde CISA vermerkt im CVE-Eintrag keine Ausnutzung und führt die Lücke nicht in ihrem Katalog ausgenutzter Schwachstellen.
Reicht das Update allein?
Version 1.6.9 zählt falsche Codes nur, wenn die Begrenzung der Anmeldeversuche eingeschaltet ist. Bei der Installation steht sie auf fünf Fehlversuchen. Ist sie abgeschaltet, sollten Betreiber sie wieder aktivieren.
Wie funktioniert die Zwei-Faktor-Anmeldung?
Bei der Zwei-Faktor-Anmeldung reicht das Passwort allein nicht. Zusätzlich verlangt die Anmeldung einen sechsstelligen Code aus einer App auf dem Smartphone, der alle 30 Sekunden wechselt. Ohne Begrenzung der Fehlversuche lässt sich dieser Code durch Ausprobieren finden.
Quellen
4 Quellen anzeigenQuellen ausblenden
- WPScanSecurity Optimizer < 1.6.9 – 2FA Bypass via Missing Rate Limiting, öffentlich gemacht am 29. Oktober 2026; dazu CVE-Eintrag CVE-2026-118185 und NVD: CVE-2026-118185
- wordpress.orgSecurity Optimizer, Änderungsprotokoll, aktive Installationen, Versions- und Downloadstatistik, abgerufen am 2. November 2026; CISA: Bewertung im CVE-Eintrag vom 1. November 2026 und Known Exploited Vulnerabilities Catalog, abgeglichen am 2. November 2026
- Quellcode der Versionen 1.6.8 und 1.6.9 aus dem WordPress-Plugin-Verzeichnis, eigener Vergleich am 2. November 2026
- WordfenceCritical Authentication Bypass Vulnerability Patched in SiteGround Security Plugin, April 2022; CVE-Einträge CVE-2022-0992 und CVE-2022-0993
Mehr Newshunger?
- LatePoint mit über 100.000 Installationen: Fremde konnten Kundenkonten übernehmen
- TeamViewer für macOS: Eine Logiklücke umgeht die Zwei-Faktor-Pflicht
- Essential Addons for Elementor mit über 1 Million Installationen: Sicherheitslücke macht Fremde zu Redakteuren
- Spectra mit über 1 Million Installationen: Sicherheitslücke ließ Fremde Schriften aus dem Theme löschen
- Ein Passwort für alles? Warum diese Gewohnheit zum Sicherheitsrisiko wird
