WebP Express mit über 300.000 Installationen: schwere Sicherheitslücke beim HTML-Umbau

Michael Dobler

Autor Dr. Web

22. Okt. 2026

3 Min. Lesezeit

Ohne Konto konnten Angreifer Skriptcode in WordPress-Seiten schleusen, die ihre Bilder mit dem Plugin WebP Express ausliefern. Die schwere Sicherheitslücke steckt in allen Versionen vor 0.25.16 und lässt sich ausnutzen, sobald die Option „Alter HTML“ (HTML verändern) eingeschaltet ist. Der Code erreicht auch angemeldete Administratoren.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Entwickler Bjørn Rosell schloss die Lücke am 18. Oktober mit Version 0.25.16, zwei Tage später veröffentlichte die Schwachstellen-Datenbank WPScan den Eintrag CVE-2026-97328.^[1] Gefunden hat den Fehler der Sicherheitsforscher Jakub Herman, von dem auch die Meldung zur Sicherheitslücke in PixelYourSite stammt. WebP Express wandelt JPEG- und PNG-Bilder in das kleinere Format WebP um und hat laut wordpress.org mehr als 300.000 aktive Installationen (Stand 22. Oktober).^[2]

Auf einen Blick

Das Wichtigste in Kürze

WPScan vergibt nach CVSS 3.1 den Wert 7,5 (hoch), wegen der nötigen Einstellung gilt der Angriff als aufwendig.
Der Angreifer braucht kein Konto, als Einfallstor nennt der Hersteller im Quellcode die Kommentarfunktion.
Dasselbe Update schließt ein zweites Schlupfloch: Den optionalen Bilder-Webdienst konnten Fremde ohne API-Schlüssel nutzen.
Angriffe sind nicht bekannt, Beispielcode für einen Angriff will WPScan am 20. November veröffentlichen.

Was geht beim Umschreiben der Bild-Tags schief?

Ein weißer Rahmen mit Passepartout, orangem Dreieck, zwei Pfeilen, Schnur und Anhänger „SCHNELL →“ — WebP Express nutzt „Alter HTML“, um Browser WebP-Bilder statt Originalbilder zu laden. Empfohlen für Nginx-Server und CDN-Websites

Mit „Alter HTML“ schreibt WebP Express jede ausgelieferte Seite um, damit Browser statt der Originalbilder die WebP-Fassungen laden. Ab Werk ist die Option aus, Rosell empfiehlt den Modus aber für Server mit Nginx und für Websites hinter einem CDN.^[3] Für das Umschreiben nutzt das Plugin einen HTML-Parser, der Skripte, Code-Blöcke und HTML-Kommentare durch Platzhalter ersetzt und später wieder einsetzt, auch in Attributen und ohne Maskierung.

Laut Code-Kommentar zum Fix konnte ein Angreifer den Parser dazu bringen, Inhalt aus einem Kommentar in ein Attribut zu setzen und aus dessen Anführungszeichen auszubrechen.^[4] Der Skriptcode läuft dann im Browser jedes Besuchers. Im Browser eines angemeldeten Administrators läuft er mit dessen Rechten und kann etwa ein neues Admin-Konto anlegen.^[5] Ein unauflösbarer Platzhalter ließ den Parser zudem endlos laufen, die Seite lud dann nicht mehr. Version 0.25.16 lässt HTML mit solchen Platzhalter-Markierungen deshalb unverändert.

Warum sind ausgerechnet Performance-Plugins anfällig?

Plugins, die fertige Seiten umschreiben, verarbeiten auch Text aus fremder Hand: Kommentare, Formulareingaben, Bewertungen. Kommentare ohne Anmeldung waren das Einfallstor für drei Lücken in W3 Total Cache und für einen Angriffsweg in Duplicator. Im Dezember 2025 meldete Wordfence für WebP Express bis 0.25.9 eine Lücke, über die Fremde auf Nginx-Servern die Konfigurationsdatei abrufen konnten.^[6]

Im Änderungsprotokoll entschuldigte sich Rosell damals für liegen gebliebene Wartung.^[3] Getestet ist WebP Express laut Verzeichnis bis WordPress 6.9, aktuell ist 7.1.3. Wie viele Websites schon aktualisiert haben, weist wordpress.org nicht aus: 97,5 Prozent der Installationen laufen auf dem Versionszweig 0.25, der 0.25.16 einschließt.^[2]

WebP Express im Steckbrief

Reichweite, Schweregrad und Wartung, Stand 22. Oktober 2026

300.000+

aktive Installationen laut wordpress.org

7,5

Punkte nach CVSS 3.1 vergibt WPScan für CVE-2026-97328

Aus

ist die Option „Alter HTML“ ab Werk, nur mit ihr funktioniert der Angriff

11 Tage

vergingen 2025 zwischen CVE-Eintrag und Patch der Vorgänger-Lücke

Zwei Lücken, zwei Patches

4. Dezember 2025

CVE-Eintrag

Wordfence meldet abrufbare Konfigurationsdateien auf Nginx-Servern

15. Dezember 2025

Patch

Version 0.25.10 schließt die Lücke

18. Oktober

Patch

Version 0.25.16 sichert den HTML-Parser und den Webdienst ab

20. Oktober

Offenlegung

WPScan veröffentlicht CVE-2026-97328 ohne technische Details

20. November

Beispielcode

WPScan will Beispielcode für einen Angriff veröffentlichen

WebP Express spart Ladezeit, doch ein ungeprüfter Kommentar im HTML-Umbau kann im Ernstfall die ganze Website kosten.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie WebP Express auf Version 0.25.16. Lässt sich das Update nicht sofort einspielen, schalten Sie „Alter HTML“ bis dahin ab.
Webdienst prüfen: Schalten Sie den Webdienst in den Einstellungen ab, falls Sie damit keine Bilder für andere Websites umwandeln.
Cache leeren: Leeren Sie nach dem Update den Seiten-Cache, auch beim Hoster und im CDN, damit keine präparierte Kopie liegen bleibt.
Konten und Kommentare kontrollieren: Suchen Sie nach unbekannten Admin-Konten und nach freigegebenen Kommentaren mit Code-Fragmenten. Hatte ein Angreifer Zugriff auf Kundendaten, prüfen Sie die 72-Stunden-Meldepflicht nach Art. 33 DSGVO.^[7]

Ein Patch liegt vor, im CISA-Katalog aktiv ausgenutzter Lücken fehlt CVE-2026-97328 bisher. Agenturen mit vielen Kundenseiten sollten bis zum 20. November fertig sein, dann folgt der Beispielcode. Grundregeln nennt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster übernehmen laut WordPress-Hosting-Vergleich in vielen Fällen auch Plugin-Updates.

FAQ: WebP Express mit über 300.000 Installationen: schwere Sicherheitslücke beim HTML-Umbau

Welche Version von WebP Express ist sicher?

Die Lücke CVE-2026-97328 schließt Version 0.25.16 vom 18. Oktober 2026. Dieselbe Version sichert auch den optionalen Webdienst für Bildumwandlungen ab. Die installierte Version zeigt die Plugin-Übersicht im WordPress-Dashboard.

Ist meine Website ohne „Alter HTML“ betroffen?

Laut WPScan setzt der Angriff einen Auslieferungsmodus voraus, der von der Standardeinstellung abweicht, also die Option „Alter HTML“. Im Betriebsmodus „CDN friendly“ arbeitet WebP Express laut Dokumentation mit dieser Option. Das Update gehört trotzdem auf jede Website mit älterer Version.

Was ist persistentes Cross-Site-Scripting?

Beim persistenten Cross-Site-Scripting legt ein Angreifer Skriptcode in Inhalten ab, die eine Website speichert, etwa in Kommentaren. Die Website liefert den Code später an andere Besucher aus, deren Browser ihn wie eigenen Code der Seite ausführt.