Das WordPress-Plugin WP Duplicate hat keinen Patch, und laut WPScan nutzen Angreifer die Sicherheitslücke bereits aus. Ohne Anmeldung legen sie Dateien auf dem Server ab und führen Code aus, die CVSS-Wertung liegt bei 9,8. WordPress.org hat das Plugin am 9. November geschlossen, auf bestehenden Websites bleibt es installiert.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
WPScan hat am 6. November eine Sicherheitslücke im Plugin „WP Duplicate – WordPress Migration Plugin“ veröffentlicht, die NVD führt sie seit dem 9. November als CVE-2026-123751.[1] Betroffen sind alle Versionen bis einschließlich 1.1.11, und das ist die aktuelle Version.[2]
Das Wichtigste in Kürze
- Angreifer ohne Konto können laut WPScan Dateien auf den Server schreiben und Code ausführen. CVSS 3.1: 9,8 laut NVD-Eintrag.[1]
- Betroffen sind alle Versionen bis 1.1.11. Ein Patch steht in keinem der Einträge, laut WPScan gibt es keine bekannte Korrektur.[1]
- WPScan schreibt, die Lücke werde in freier Wildbahn ausgenutzt. Im Katalog der US-Behörde CISA für ausgenutzte Schwachstellen fehlt sie am 10. November, der Beweiscode ist zurückgehalten.[1]
- Betreiber löschen das Plugin und prüfen den Server auf fremde Dateien und neue Administratorkonten.
Wie kommt ein Angreifer über ein Umzugs-Plugin auf den Server?
Ein Migrations-Plugin muss annehmen, was sonst jeder Server abweist: große Dateien, die direkt auf die Festplatte geschrieben werden. Den Zugriff darauf regelt bei WP Duplicate ein Wert, mit dem sich eine Anfrage ausweist. Laut WPScan prüft das Plugin diesen Wert nicht richtig und kontrolliert weder Pfad noch Typ der hochgeladenen Datei.[1] Eine PHP-Datei in einem Verzeichnis, das der Webserver ausführt, genügt, und der Server gehört dem Angreifer. Der Eintrag beschreibt genau diese Kette als Codeausführung.
Das Plugin heißt auf wordpress.org „WP Duplicate – WordPress Migration Plugin“, die Verzeichniskennung lautet local-sync, als Autor ist revmakx eingetragen.[2] Es hat nichts mit dem Plugin WP Duplicate Page oder mit Duplicator zu tun. Wie viele Websites es einsetzen, lässt sich nicht beziffern: Für das geschlossene Plugin weist wordpress.org keine aktiven Installationen mehr aus, eine Hersteller-Angabe liegt nicht vor.
Ist es die erste Lücke in diesem Plugin?
Nein. Wordfence hat im Februar die Lücke CVE-2026-1499 gemeldet, CVSS 3.1: 8,8, betroffen waren die Versionen bis 1.1.8.[3] Damals genügte laut Eintrag ein Abonnenten-Konto, um einen internen Wert zu setzen, mit dem sich anschließend ohne Konto Dateien auf den Server schreiben ließen. Die neue Lücke kommt ganz ohne Konto aus. Beide Einträge beschreiben eine zu schwache Prüfung der Anfrage und ungeprüfte Schreibzugriffe. Ob die neue Lücke die frühere Korrektur umgeht, geht aus keinem Eintrag hervor.
Ungeprüfte Uploads sind eine harte Lückenklasse, weil sie direkt zur Codeausführung führen können. In den vergangenen Tagen standen Contact Form 7 im Datei-Upload, JetFormBuilder und wpForo in den Meldungen. Bei WP Duplicate kommt ein zweiter Faktor hinzu: Ein Migrations-Plugin dient oft nur dem einmaligen Umzug und bleibt danach leicht ungepflegt im Plugin-Ordner liegen.
Der Stand auf der Leiter: offengelegt (WPScan, 6. November), Patch nicht vorhanden, Exploit-Code zurückgehalten, aktive Ausnutzung laut WPScan beobachtet, Angriffswelle nicht belegt.
Vom ersten Fund bis zur Schließung
Wo die Lücke auf der Status-Leiter steht
Ein Plugin, das nur einmal für den Umzug gebraucht wurde, gehört danach gelöscht. Bei WP Duplicate bleibt jetzt gar keine andere Wahl.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Prüfen: Suchen Sie in der Plugin-Liste nach „WP Duplicate – WordPress Migration Plugin“ und nach der Verzeichniskennung local-sync. Agenturen filtern ihre Wartungswerkzeuge danach.
- Löschen: Da kein Patch existiert, hilft nur das Entfernen. Deaktivieren allein ist weniger sicher als Löschen, weil die Dateien auf dem Server liegen bleiben. Für den nächsten Umzug taugt ein Werkzeug aus dem Vergleich der Backup-Plugins.
- Spuren suchen: Achten Sie auf unbekannte PHP-Dateien im Plugin-Ordner, in wp-content/uploads und im Hauptverzeichnis, auf neue Administratorkonten und auf Dateien mit jüngerem Änderungsdatum als dem letzten Update. Die Zugriffsprotokolle des Servers zeigen verdächtige Anfragen an das Plugin.
- Bei Fund handeln: Stellen Sie die Website aus einer sauberen Sicherung wieder her, ändern Sie alle Passwörter, die Datenbank-Zugangsdaten und die Schlüssel in der wp-config.php und holen Sie den Hoster dazu.
Eine Website mit Angreifer-Zugriff gefährdet auch gespeicherte Daten von Kunden und Besuchern. Art. 32 DSGVO verlangt dafür ein angemessenes Schutzniveau, und hatten Unbefugte Zugriff auf personenbezogene Daten, läuft die Meldefrist nach Art. 33 DSGVO von 72 Stunden. Dokumentieren Sie den Fall mit Datum und Maßnahmen, im Zweifel hilft der Datenschutzbeauftragte. Das ist keine Rechtsberatung. Für den Hersteller könnte der Cyber Resilience Act greifen: Seit dem 11. September 2026 müssen Anbieter kommerzieller Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen binnen 24 Stunden den Behörden melden. Ob das Plugin darunter fällt, hängt davon ab, ob es im Rahmen einer Geschäftstätigkeit bereitgestellt wird, eine Stellungnahme von revmakx ist nicht bekannt.
Grundregeln zum Absichern fasst der Ratgeber zur WordPress-Sicherheit zusammen, den Rahmen für kleine Unternehmen beschreiben die Cybersecurity-Grundlagen. Anbieter, die Updates und Überwachung übernehmen, listet der WordPress-Hosting-Vergleich.
FAQ: Sicherheitslücke bei WP Duplicate
Welche Versionen von WP Duplicate sind betroffen?
Betroffen sind alle Versionen bis einschließlich 1.1.11. Das ist laut wordpress.org die aktuelle Version, eine gepatchte Fassung ist nicht bekannt. Das Plugin ist seit dem 9. November 2026 im Verzeichnis geschlossen.
Wird die Sicherheitslücke bei WP Duplicate ausgenutzt?
Laut WPScan wird sie in freier Wildbahn ausgenutzt, Zahlen nennt der Eintrag nicht. Im Katalog der CISA für ausgenutzte Schwachstellen stand sie am 10. November 2026 nicht. Der Beweiscode ist zurückgehalten.
Reicht es, WP Duplicate zu deaktivieren?
Sicherer ist das Löschen, weil ein deaktiviertes Plugin mit seinen Dateien auf dem Server bleibt. Ein Patch existiert nicht. Prüfen Sie danach auf unbekannte PHP-Dateien und neue Administratorkonten.
Wie viele Websites setzen WP Duplicate ein?
Das lässt sich nicht beziffern. Für das geschlossene Plugin zeigt wordpress.org keine aktiven Installationen mehr an, und eine Angabe des Herstellers liegt nicht vor.
Quellen
3 Quellen anzeigenQuellen ausblenden
- WPScanEintrag zu WP Duplicate bis 1.1.11, veröffentlicht am 6. November 2026; NVD: CVE-2026-123751, veröffentlicht am 9. November 2026; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 10. November 2026
- wordpress.orgWP Duplicate – WordPress Migration Plugin, Version 1.1.11, Hinweis zur Schließung vom 9. November 2026, abgerufen am 10. November 2026
- NVDCVE-2026-1499, veröffentlicht am 6. Februar 2026, Vergabestelle Wordfence
Mehr Newshunger?
- Sicherheitslücke bei Contact Form 7 im Datei-Upload
- Schwere Sicherheitslücke bei JetFormBuilder
- Schwere Sicherheitslücke bei wpForo
- LatePoint mit über 100.000 Installationen: Fremde konnten Kundenkonten übernehmen
- Schwere Sicherheitslücke bei LiteSpeed Cache im Warenkorb
- Schwere Sicherheitslücke bei Easy Digital Downloads im PayPal-Checkout
