Das Cache-Plugin WP Fastest Cache speicherte in WordPress-Netzwerken die Seite, auf der neue Nutzer ihr Konto freischalten, samt Benutzername und Passwort. Wer die Seite danach aufrief, bekam diese Kopie zu sehen. Version 1.5.4 vom 2. November schließt die Lücke, betroffen sind nur Netzwerke mit offener Registrierung.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Wordfence hat am 2. November eine Sicherheitslücke im WordPress-Plugin WP Fastest Cache öffentlich gemacht, betroffen sind alle Versionen bis 1.5.3. Laut wordpress.org läuft das Plugin des türkischen Entwicklers Emre Vona auf über 1 Million Websites. Wordfence bewertet CVE-2026-111464 nach CVSS 3.1 mit 5,9 von 10 Punkten, Stufe mittel. Ein Konto braucht der Angreifer nicht.[1][2]
Das Wichtigste in Kürze
- WP Fastest Cache legte bis 1.5.3 die Aktivierungsseite im öffentlichen Cache ab.
- Die Seite zeigt nach der Freischaltung Benutzername und zwölfstelliges Passwort des neuen Kontos.
- Betroffen sind nur Multisite-Netzwerke, deren Websites in Unterverzeichnissen liegen und in denen sich Besucher selbst ein Konto und eine Website anlegen dürfen.
Wie landete ein Passwort im Cache?
In einem WordPress-Netzwerk mit offener Registrierung bekommt jeder neue Nutzer eine Mail mit einem Aktivierungslink. Folgt er ihm, schaltet WordPress das Konto frei und zeigt auf der Aktivierungsseite das erzeugte Passwort im Klartext an. WordPress kennzeichnet diese Seite deshalb so, dass Browser und Zwischenspeicher sie nicht aufbewahren dürfen.[1]
WP Fastest Cache hielt sich nicht daran. Das Plugin legte die Antwort wie jede andere Seite im Cache ab und lieferte sie an jeden aus, der die Adresse danach aufrief, mit den Zugangsdaten des zuletzt freigeschalteten Nutzers. Ein Vergleich der Versionen 1.5.3 und 1.5.4 zeigt die Korrektur: Das Plugin speichert nichts mehr, solange WordPress eine Installation oder Freischaltung abwickelt, und speichert Anfragen mit dem Aktivierungs-Cookie nicht zwischen.[3]
Auf einer einzelnen WordPress-Website gibt es diese Seite nicht, und ohne echte Freischaltung steht nichts im Cache. Trifft es ein Netzwerk, gehört das offengelegte Konto aber einem echten Nutzer, samt der Website, die er gerade angelegt hat.
Wenn der Cache zu viel speichert
Für WP Fastest Cache ist es nicht die erste Cache-Lücke in diesem Jahr. Im August und September meldeten WPScan und Wordfence drei Fehler bis Version 1.5.0, über die Fremde ohne Anmeldung manipulierte Seiten in den Cache bringen konnten. Diese Kopien gingen dann an alle Besucher, im schlimmsten Fall mit fremdem Schadcode (bis 7,5 Punkte). Version 1.5.1 behob sie.[4]
Das Muster gab es auch bei anderen Plugins. In PixelYourSite verteilte der Seiten-Cache eingeschleusten Code. LiteSpeed Cache legte 2024 Anmelde-Cookies in einer öffentlich abrufbaren Protokolldatei ab (CVE-2024-44000).[4]
Laut CVE-Eintrag erfuhr der Entwickler am 16. Oktober von der Lücke, gemeldet von einem Forscher unter dem Pseudonym R3D. Am Tag der Meldung zählte wordpress.org 208.971 Downloads, an den fünf Tagen davor zwischen 5.217 und 22.445. Angriffe sind bis zum 3. November nicht bekannt, die US-Behörde CISA führt die Lücke nicht in ihrem Katalog ausgenutzter Schwachstellen.[2]
Vom ersten Cache-Fehler bis zum Update
Einzelne WordPress-Websites ohne Multisite sind nicht betroffen. In Netzwerken lag jeweils das Passwort des zuletzt freigeschalteten Nutzers offen.
Ein Cache-Plugin muss wissen, welche Seiten es nicht speichern darf. Wer ein Netzwerk mit offener Registrierung betreibt, sollte das Update heute einspielen und den Cache leeren.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Version 1.5.4 ein und schalten Sie automatische Updates für das Plugin ein.
- Cache leeren: Löschen Sie nach dem Update den gesamten Cache, damit keine alte Kopie der Aktivierungsseite stehen bleibt.
- Neue Konten prüfen: Betreiber eines Netzwerks mit offener Registrierung setzen die Passwörter kürzlich freigeschalteter Nutzer zurück.
Agenturen, die Netzwerke für Kunden betreuen, filtern in ihren Update-Werkzeugen nach Installationen vor 1.5.4. Lagen Zugangsdaten offen, prüfen Betreiber die Meldepflicht nach Art. 33 DSGVO. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Hoster, die Plugin-Updates selbst einspielen.
FAQ: WP Fastest Cache mit über 1 Million Installationen: Cache legte Zugangsdaten neuer Nutzer offen
Welche Version von WP Fastest Cache ist sicher?
Version 1.5.4 vom 2. November 2026 schließt die Lücke, die Wordfence am selben Tag öffentlich gemacht hat. Alle Versionen bis einschließlich 1.5.3 gelten als anfällig.
Ist jede Website mit WP Fastest Cache betroffen?
Nein. Ausnutzbar ist die Lücke nur in WordPress-Multisite-Netzwerken, deren Websites in Unterverzeichnissen liegen und in denen sich Besucher selbst ein Konto und eine Website anlegen dürfen. Einzelne WordPress-Websites haben keine solche Aktivierungsseite.
Welche Daten lagen offen?
Benutzername und zwölfstelliges Passwort des Nutzers, der sein Konto zuletzt freigeschaltet hatte. Mit diesen Daten lässt sich das Konto samt der neu angelegten Website übernehmen.
Wird die Lücke schon ausgenutzt?
Bis zum 3. November 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog ausgenutzter Schwachstellen.
Reicht das Update allein?
Nach dem Update sollten Betreiber den gesamten Cache leeren, damit keine alte Kopie der Aktivierungsseite stehen bleibt. In Netzwerken mit offener Registrierung empfiehlt es sich, die Passwörter kürzlich freigeschalteter Nutzer zurückzusetzen.
Quellen
4 Quellen anzeigenQuellen ausblenden
- WordfenceWP Fastest Cache <= 1.5.3 – Sensitive Information Exposure, öffentlich gemacht am 2. November 2026; dazu CVE-Eintrag CVE-2026-111464 und NVD: CVE-2026-111464
- wordpress.orgWP Fastest Cache, Änderungsprotokoll, aktive Installationen, Versions- und Downloadstatistik, abgerufen am 3. November 2026; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 3. November 2026
- Quellcode der Versionen 1.5.3 und 1.5.4 aus dem WordPress-Plugin-Verzeichnis, eigener Vergleich am 3. November 2026
- NVDCVE-2026-74932, CVE-2026-19760 und CVE-2026-74916 (WP Fastest Cache, August und September 2026), CVE-2024-44000 (LiteSpeed Cache)
Mehr Newshunger?
- LiteSpeed Cache mit über 7 Millionen Installationen: Gleiche Lücke steckt auch in W3 Total Cache
- PixelYourSite mit über 400.000 Installationen: Der Seiten-Cache verteilt eingeschleusten Code
- Sicherheitslücke beim Breeze Cache Plugin: 400.000 WordPress-Websites betroffen
- Security Optimizer mit über 1 Million Installationen: Zwei-Faktor-Codes ließen sich beliebig oft raten
