Über einen präparierten Seitenaufruf konnten Fremde ohne Anmeldung Schriften löschen, die das Block-Plugin Spectra im aktiven Theme hinterlegt. Wordfence hat die Lücke am 30. Oktober offengelegt, Version 2.20.5 schließt sie. Es ist das sechste Sicherheitsupdate des Plugins seit Ende Juni.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Wordfence hat am 30. Oktober eine Sicherheitslücke im WordPress-Plugin Spectra des Herstellers Brainstorm Force veröffentlicht, betroffen sind alle Versionen bis 2.20.4. Laut wordpress.org läuft die Block-Sammlung, die seit Juli Spectra Legacy heißt, auf über 1 Million Websites. CVE-2026-92294 erhält 6,5 von 10 Punkten nach CVSS 3.1, vergeben von Wordfence.[1]
Das Wichtigste in Kürze
- Angreifer konnten ohne Konto Schriftdateien aus dem Theme löschen und die Schrift-Einträge in dessen Konfigurationsdatei theme.json umschreiben.
- Version 2.20.5 vom 9. Oktober behebt die Lücke, Angriffe sind bis zum 2. November nicht bekannt.[4]
- Code ausführen oder Daten auslesen lässt sich darüber nicht, sichtbar wird der Schaden an der Typografie.
Was konnten Angreifer an der Website verändern?
Spectra kann Google Fonts lokal in ein Block-Theme übernehmen: Es legt die Schriftdateien in einem eigenen Ordner des Themes ab und trägt sie in dessen theme.json ein. Zum Abgleich löscht eine Routine beides und schreibt es neu. Diese Routine startete bei jedem Seitenaufruf, dessen Adresse bestimmte Werte enthielt, und prüfte bis 2.20.3 nicht, wer sie auslöst.[1][2]
Die Folge ist begrenzt: Andere Theme-Dateien bleiben unberührt, betroffen sind nur Schriften, die Spectra selbst eingetragen hat. Auf Websites ohne diese Funktion findet die Routine nichts zu löschen. Wo sie aktiv ist, verliert die Website ihre gewählten Schriften und zeigt Ersatzschriften.
Ein Vergleich der Versionen zeigt, dass der Hersteller in zwei Schritten nachgebessert hat. Version 2.20.4 vom 28. September lässt die Routine nur noch für angemeldete Administratoren laufen. Erst 2.20.5 verlangt zusätzlich einen einmal gültigen Sicherheitsschlüssel, den nur das Spectra-Dashboard mitschickt. Damit wirkt auch ein untergeschobener Link nicht mehr, den ein Administrator anklickt. Wordfence führt deshalb erst 2.20.5 als sicher.[2]
Sechs Sicherheitsupdates in gut drei Monaten
Das Änderungsprotokoll nennt seit dem 30. Juni sechs Versionen mit Sicherheitskorrekturen, vier davon nach Meldungen von Wordfence. Am schwersten wog eine Lücke, die Wordfence im Mai offenlegte: Nutzer mit der WordPress-Rolle Mitarbeiter konnten über präparierte Blöcke Code auf dem Server ausführen (8,8 Punkte).[3] Seit Juli bekommt Spectra Legacy nur noch Sicherheits- und Kompatibilitätsupdates, neue Funktionen erscheinen im getrennten Plugin Spectra Blocks.[2]
Eine fehlende Prüfung, wer eine Funktion aufruft, steckte auch hinter anderen Lücken der vergangenen Wochen. Ohne Anmeldung ließen sich zuletzt im Popup Builder alle Popups in den Papierkorb schieben, in GeoDirectory genügte ein Abonnentenkonto, um Dateien vom Server zu löschen.
Am 28. September zählte wordpress.org 180.946 Downloads des Plugins, am 9. Oktober 145.294, ein Vielfaches der üblichen Tageswerte. Am 2. November liefen trotzdem 21,8 Prozent der Installationen auf der älteren Reihe 2.19 und damit auf einer anfälligen Version. Für die Reihe 2.20 mit 66,9 Prozent nennt die Statistik keine Unterversionen.[2]
Von der ersten schweren Lücke bis zur Offenlegung
Angriffe sind bis zum 2. November nicht bekannt. Sichtbare Folgen hat die Lücke nur auf Websites, deren Block-Theme Schriften über Spectra lädt.
Ein Plugin ohne neue Funktionen braucht trotzdem jedes Update. Sechs Sicherheitskorrekturen in gut drei Monaten zeigen, wie viel in altem Code noch steckt.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Version 2.20.5 ein und schalten Sie automatische Updates für Spectra ein.
- Schriften prüfen: Kontrollieren Sie auf Websites mit Block-Theme, ob die gewählten Schriften noch geladen werden.
- Kundenwebsites: Agenturen suchen in ihren Update-Werkzeugen nach Installationen, die noch auf der Reihe 2.19 stehen.
Über die Lücke ließ sich laut CVSS-Bewertung nicht auf personenbezogene Daten zugreifen, die Meldefrist nach Art. 33 DSGVO greift deshalb in der Regel nicht. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Hoster, die Plugin-Updates selbst einspielen.
FAQ: Spectra mit über 1 Million Installationen: Sicherheitslücke ließ Fremde Schriften aus dem Theme löschen
Welche Version von Spectra ist sicher?
Version 2.20.5 vom 9. Oktober 2026 schließt die Lücke, die Wordfence am 30. Oktober offengelegt hat. Alle Versionen bis einschließlich 2.20.4 gelten als anfällig.
Ist jede Website mit Spectra betroffen?
Anfällig ist jede Installation bis 2.20.4. Einen sichtbaren Schaden richtet die Lücke aber nur an, wenn das Block-Theme Schriften über Spectra lädt. Dann fehlen nach einem Angriff die gewählten Schriften, und die Website zeigt Ersatzschriften.
Wird die Lücke schon ausgenutzt?
Bis zum 2. November 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog ausgenutzter Schwachstellen.
Was ist der Unterschied zwischen Spectra Legacy und Spectra Blocks?
Spectra Legacy ist das bisherige Plugin mit allen Blöcken, es bekommt seit Juli 2026 nur noch Sicherheits- und Kompatibilitätsupdates. Neue Funktionen erscheinen im getrennten Plugin Spectra Blocks. Bestehende Websites müssen nicht wechseln.
Quellen
4 Quellen anzeigenQuellen ausblenden
- WordfenceSpectra Gutenberg Blocks <= 2.20.4, CVE-2026-92294, offengelegt am 30. Oktober 2026; dazu CVE-Eintrag CVE-2026-92294 und NVD: CVE-2026-92294
- wordpress.orgSpectra Legacy, Änderungsprotokoll, aktive Installationen, Versions- und Downloadstatistik, abgerufen am 2. November 2026; Quellcode der Versionen 2.20.3, 2.20.4 und 2.20.5 aus dem Plugin-Verzeichnis
- Wordfence: CVE-Eintrag CVE-2026-7465 (Spectra bis 2.19.25), offengelegt am 29. Mai 2026
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 2. November 2026
Mehr Newshunger?
- Popup Builder mit über 200.000 Installationen: Sicherheitslücke schickt alle Popups in den Papierkorb
- GeoDirectory mit über 10.000 Installationen: Abonnenten konnten Dateien vom Server löschen
- Forminator mit über 600.000 Installationen: Sicherheitslücke lässt Fremde Formularentwürfe löschen
- Essential Addons for Elementor mit über 1 Million Installationen: Sicherheitslücke macht Fremde zu Redakteuren
- Ad Inserter mit über 300.000 Installationen: Shortcodes ließen sich über die Suche ausführen
