Fremde konnten auf Servern mit dem Plugin Ultra Addons for Contact Form 7 ohne Anmeldung beliebige Dateien löschen, auch die wp-config.php, ohne die keine WordPress-Website startet. Voraussetzung ist ein aktives PDF-Modul. Version 3.5.55 vom 11. Oktober schließt die Lücke, öffentlich ist sie erst seit dem 2. November.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Der Hersteller Themefic hat die Lücke mit Version 3.5.55 geschlossen, betroffen sind alle Versionen bis 3.5.54. Laut wordpress.org läuft das Plugin auf über 60.000 Websites. Wordfence bewertet CVE-2026-102435 mit 9,8 von 10 Punkten nach CVSS 3.1, die US-Datenbank NVD hat den Eintrag am Abend des 2. November veröffentlicht.[1][2]
Das Wichtigste in Kürze
- Die Lücke steckt in der mitgelieferten PDF-Bibliothek mPDF und erlaubt es ohne Anmeldung, Dateien zu löschen.
- Angreifbar sind nur Websites mit aktivem PDF-Modul und einem Formular, das PDFs erzeugt.
- Die US-Behörde CISA führt die Lücke am 2. November nicht in ihrem Katalog ausgenutzter Schwachstellen.[2]
Wie kommt eine PDF-Bibliothek zu Löschrechten?
Das PDF-Modul wandelt Formulareinsendungen von Contact Form 7 in PDF-Dateien um. Dafür bringt das Plugin die freie Bibliothek mPDF mit. Wordfence ordnet die Lücke als unsichere Deserialisierung ein (CWE-502): mPDF liest gespeicherte Objekte zurück, ohne die erlaubten Klassen zu begrenzen.[1][3] Eine präparierte Eingabe setzt eine Kette vorhandener Programmteile in Gang, bis ein Glied der Kette eine Datei löscht, auch Contact Form 7 gehört dazu.
Ein Vergleich der Versionen 3.5.54 und 3.5.55 zeigt die Korrektur: Die Bibliothek erlaubt keine beliebigen Klassen mehr, außerdem entfernt das Plugin mPDF-Steuerzeichen und Protokollangaben für Dateizugriffe aus Eingaben. Das Änderungsprotokoll von 3.5.55 spricht nur von Problemen, die Wordfence gemeldet habe.[3]
Die 9,8 Punkte beschreiben den ungünstigsten Fall. Wordfence beschrieb das PDF-Modul schon bei einer früheren Lücke als standardmäßig abgeschaltet, und ohne ein Formular, das PDFs erzeugt, läuft der Angriff ins Leere.[4] Trotzdem trifft es Betreiber, die ihren Kunden Angebote als PDF schicken. Fehlt die wp-config.php, startet WordPress den Einrichtungsassistenten, und ein Angreifer kann die Zugangsdaten einer eigenen Datenbank eintragen und die Website übernehmen.
Mindestens vier Meldungen zum Plugin seit September
Seit dem 19. September führt die NVD mindestens vier Einträge zum Plugin. Am 19. September nahm sie einen Datei-Upload ohne Prüfung der Dateiendung auf (6,5 Punkte, behoben in 3.5.51), am 26. September folgte ein weiterer Upload mit 9,8 Punkten bis Version 3.5.50. Am 30. September kam eine Objekt-Injection dazu, die ein Redakteurskonto voraussetzt (7,2 Punkte). Der Upload vom 26. September setzt ebenfalls das PDF-Modul voraus.[4]
Dieselbe Angriffsklasse steckte vor wenigen Tagen im Formular-Plugin Gravity Forms, wo Fremde ohne Anmeldung PHP-Objekte einschleusen konnten. Bei Spectra konnten Fremde zuletzt ebenfalls Dateien löschen. Zwischen Patch und öffentlicher Meldung liegen drei Wochen, in denen vor allem Websites mit automatischen Updates geschützt waren.
Fünf Stationen seit dem 19. September
Die CISA führt die Lücke am 2. November nicht in ihrem Katalog ausgenutzter Schwachstellen. Die Daten der CVE-Einträge sind Veröffentlichungstage in der NVD, nicht Tage der Entdeckung.
Jedes Zusatzmodul bringt Bibliotheken mit, die Betreiber nie angeschaut haben. Ein PDF-Modul, das niemand braucht, gehört abgeschaltet.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Version 3.5.57 ein, mindestens aber 3.5.55, und schalten Sie automatische Updates für das Plugin ein.
- PDF-Modul prüfen: Kontrollieren Sie in den Plugin-Einstellungen, ob das Modul läuft. Brauchen Sie es nicht, schalten Sie es ab.
- Dateien kontrollieren: Prüfen Sie, ob die wp-config.php sowie Theme- und Plugin-Dateien vollständig sind, und suchen Sie nach unbekannten Administratoren. Fehlt etwas, spielen Sie ein Backup ein.
Agenturen mit vielen Kundenwebsites filtern in ihren Update-Werkzeugen nach Installationen bis 3.5.54. Verarbeitet das Formular Kundendaten, gehört das Update zu den technischen Maßnahmen nach Art. 32 DSGVO. Wurde die Website übernommen, prüfen Betreiber die Meldepflicht nach Art. 33 DSGVO, die Frist beträgt 72 Stunden. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Hoster, die Plugin-Updates selbst einspielen.
FAQ: Ultra Addons for Contact Form 7 mit über 60.000 Installationen: Kritische Sicherheitslücke ließ Fremde Dateien löschen
Welche Version von Ultra Addons for Contact Form 7 ist sicher?
Ab Version 3.5.55 vom 11. Oktober 2026 ist die Lücke geschlossen, aktuell ist 3.5.57 vom 1. November. Alle Versionen bis 3.5.54 gelten als anfällig.
Ist jede Website mit dem Plugin betroffen?
Nein. Angreifbar sind nur Websites, auf denen das PDF-Modul aktiv und ein Formular für die PDF-Erzeugung eingerichtet ist. Wordfence beschrieb das Modul bei einer früheren Lücke als standardmäßig abgeschaltet.
Wird die Lücke schon ausgenutzt?
Die US-Behörde CISA führt die Lücke am 2. November 2026 nicht in ihrem Katalog ausgenutzter Schwachstellen. Der NVD-Eintrag ist erst am Abend desselben Tages erschienen, belastbare Angriffszahlen liegen deshalb noch nicht vor.
Was passiert, wenn die wp-config.php fehlt?
Fehlt die Konfigurationsdatei, startet WordPress den Einrichtungsassistenten statt der Website. Ein Angreifer kann die Zugangsdaten einer eigenen Datenbank eintragen und die Website übernehmen. Betreiber stellen die Datei aus einem Backup wieder her.
Quellen
4 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-102435, Beschreibung und CVSS-Bewertung von Wordfence, veröffentlicht am 2. November 2026; dazu der verlinkte Eintrag der Wordfence-Datenbank
- wordpress.orgUltra Addons for Contact Form 7, Änderungsprotokoll und aktive Installationen, abgerufen am 2. November 2026; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 2. November 2026
- Quellcode der Versionen 3.5.54, 3.5.55 und 3.5.57 aus dem WordPress-Plugin-Verzeichnis, eigener Vergleich am 2. November 2026
- NVDCVE-2026-82901, CVE-2026-84750 und CVE-2026-96833, veröffentlicht am 26. September, 19. September und
Mehr Newshunger?
- Gravity Forms: Kritische Sicherheitslücke trifft Formulare, die Beiträge anlegen
- Spectra mit über 1 Million Installationen: Sicherheitslücke ließ Fremde Schriften aus dem Theme löschen
- Forminator mit über 600.000 Installationen: Sicherheitslücke lässt Fremde Formularentwürfe löschen
- Redirection for Contact Form 7 mit über 200.000 Installationen: Fremde konnten Skripte einschleusen
- Ninja Forms mit über 500.000 Installationen: Vier neue Sicherheitslücken, drei davon ohne Anmeldung
