Beim WordPress-Plugin Widget Options konnten Nutzer mit Autorenrechten PHP-Ausdrücke in Beiträge einschleusen, die danach bei jedem Seitenaufruf ausgewertet wurden. Laut Wordfence liest der Angreifer so zunächst Konfigurationswerte der Website aus. Version 4.2.7 schließt die Lücke, das Plugin läuft auf mehr als 100.000 Websites.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Wordfence hat die Sicherheitslücke CVE-2026-116615 im Plugin Widget Options bewertet, die NVD führt sie seit dem 13. November.[1] Laut wordpress.org läuft das Plugin des Herstellers Marketing Fire auf mehr als 100.000 aktiven Installationen (Stand 13. November).[2] Wordfence vergibt 8,8 von 10 Punkten (CVSS 3.1, hoch). Betroffen sind alle Versionen bis 4.2.6.1, behoben ist die Lücke in Version 4.2.7 vom 11. November.[3]
Das Wichtigste in Kürze
- Angreifer brauchen mindestens ein Autorenkonto. Mit Mitwirkenden-Konto geht es nur, wenn ein Administrator oder Redakteur den eingereichten Beitrag veröffentlicht.
- Der eingeschleuste Ausdruck läuft bei jedem Seitenaufruf, auch für Besucher ohne Konto.
- Volle Codeausführung droht laut Wordfence nur, wenn ein weiteres Plugin die Liste erlaubter Funktionen erweitert. Sonst lassen sich Konfigurationswerte auslesen.
- Angriffe sind nicht bekannt. Es ist bereits die siebte Korrektur einer Codeausführung in diesem Plugin seit Version 4.1.0.
Wie kam der Code in die Seite?
Widget Options blendet Widgets und Blöcke abhängig von Bedingungen ein oder aus. Dafür kann man in der „Anzeigelogik“ einen PHP-Ausdruck hinterlegen, den das Plugin beim Aufruf der Seite auswertet. Das Plugin entfernt solche Ausdrücke aus Beiträgen, wenn sie nicht von einem berechtigten Nutzer stammen. Laut Wordfence liest der Filter beim Speichern einen Beitrag anders als der Teil, der ihn später ausgibt.[1] Ein präparierter Eintrag überstand das Entfernen und wurde beim Anzeigen doch als Bedingung gelesen. Wer prüft und wer ausführt, muss denselben Text gleich verstehen.
Die Folgen beschreibt Wordfence abgestuft. Der Ausdruck darf nur Funktionen aus einer Liste aufrufen, damit ließen sich Werte wie die Administrator-Adresse, die Standardrolle und gespeicherte Optionen oder Nutzerdaten auslesen. Erweitert ein anderes Plugin diese Liste, reicht das laut Wordfence für unbeschränkte Codeausführung.[1] Ein Beleg dafür, dass sich das in der Praxis verketten lässt, liegt nicht vor.
Warum kehrt dieselbe Lücke immer wieder?
Das Änderungsprotokoll nennt seit Version 4.1.0 sieben Korrekturen zu Codeausführung oder verwandten Fehlern in der Anzeigelogik: 4.1.0, 4.1.1, 4.2.0, 4.2.3, 4.2.4, 4.2.6 und jetzt 4.2.7.[3] Das Muster kennt man von Plugins, die Nutzereingaben als Ausdruck auswerten. Jede Sperre schließt einen Weg, der Auswerter bleibt aber bestehen. Bei Unlimited Elements und Elementor lag die Ursache dagegen in Feeds und Dateiuploads, beim Migrationsplugin WP Duplicate in einem ungeschützten Dateizugriff. Ein dauerhafter Schutz ist erst die Entscheidung, Nutzerinhalte gar nicht als Programmtext zu behandeln.
Wie viele Websites betroffen sind, lässt sich nicht beziffern. Laut wordpress.org liefen am 13. November rund 30 Prozent der Installationen auf Zweigen vor 4.2. Der Zweig 4.2 mit 65 Prozent enthält neben der gepatchten Version 4.2.7 auch die anfälligen Stände.[2] Installationen sind nicht betroffene Websites.
Wer Bedingungen als Programmcode speichert, darf sich nicht wundern, wenn jemand sie als Programmcode schreibt.
Michael Dobler, Herausgeber Dr. Web
Die Korrekturen zu Codeausführung seit Version 4.1.0
| Version | Eintrag im Änderungsprotokoll | Quelle |
|---|---|---|
| 4.1.0 und 4.1.1 | Codeausführung und Remote Code Execution behoben | wordpress.org |
| 4.2.0 | Codeausführung ab Mitwirkenden-Rolle, Eval Injection behoben | wordpress.org |
| 4.2.3 und 4.2.4 | Codeausführung ab Mitwirkenden-Rolle behoben, Schutz verstärkt | wordpress.org |
| 4.2.6 | Schwachstelle für Remote Code Execution behoben | wordpress.org |
| 4.2.7 | Unterschiedliches Lesen von Markierungen in der Anzeigelogik behoben (CVE-2026-116615) | wordpress.org, Wordfence |
Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt.
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Widget Options in Version 4.2.7 oder neuer ein und prüfen Sie, ob automatische Updates für das Plugin aktiv sind.
- Rechte prüfen: Wer Autorenrechte hat, ist die Voraussetzung. Streichen Sie Konten, die niemand mehr braucht, und lassen Sie eingereichte Beiträge von Mitwirkenden vor der Veröffentlichung ansehen.
- Nach Spuren suchen: Prüfen Sie Beiträge von Autoren auf ungewöhnliche Einträge in den Anzeigeoptionen und die Benutzerliste auf Administratoren, die Sie nicht angelegt haben.
- Meldepflicht klären: Waren personenbezogene Daten erreichbar und wurde die Lücke ausgenutzt, prüfen Sie die Meldung binnen 72 Stunden (Art. 33 DSGVO).[4]
Agenturen mit vielen Kundenwebsites aktualisieren zuerst die Seiten mit mehreren Autoren. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, sichere Zugänge behandelt der Beitrag über unsichere Login-Daten, Managed-Hoster mit eigener Firewall nennt der WordPress-Hosting-Vergleich.
FAQ: Sicherheitslücke bei Widget Options
Welche Widget-Options-Version schließt die Sicherheitslücke?
Version 4.2.7 schließt die Lücke laut Änderungsprotokoll, sie steht seit dem 11. November bereit. Betroffen sind laut Wordfence alle Versionen bis einschließlich 4.2.6.1.
Kann jeder Besucher die Lücke ausnutzen?
Nein. Der Angreifer braucht mindestens ein Autorenkonto. Mit einem Mitwirkenden-Konto funktioniert es nur, wenn ein Administrator oder Redakteur den eingereichten Beitrag später veröffentlicht.
Wird Widget Options schon angegriffen?
Bis zum 13. November 2026 liegen keine Berichte über Angriffe vor, der Eintrag steht nicht im CISA-Katalog ausgenutzter Schwachstellen. Ein Update sollte dennoch bald laufen.
Was kann ein Angreifer mit der Lücke erreichen?
Laut Wordfence lassen sich Konfigurationswerte wie die Administrator-Adresse auslesen. Volle Codeausführung droht nur, wenn ein weiteres Plugin die Liste erlaubter Funktionen erweitert.
Quellen
4 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-116615 mit Beschreibung und Bewertung von Wordfence, aufgenommen am 13. November 2026, abgerufen am 13. November 2026
- wordpress.orgWidget Options, aktive Installationen und Versionsverteilung, abgerufen am 13. November 2026
- wordpress.orgÄnderungsprotokoll von Widget Options (Version 4.2.7 vom 11. November 2026), abgerufen am 13. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
