Über eine Lücke im Plugin WPCode konnten Besucher ohne Anmeldung sämtliche automatisch eingefügten Code-Snippets einer WordPress-Website für ihre eigenen Aufrufe abschalten. Version 2.4.0 vom 8. Oktober schließt die Lücke, WPScan hat sie am 12. Oktober öffentlich gemacht. Laut wordpress.org liefen am 15. Oktober noch rund 66 Prozent der über 3 Millionen Installationen auf den Versionszweigen 2.2 und 2.3.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Betreiber binden mit dem Plugin Tracking-Codes, Stylesheets und PHP-Code-Schnipsel in eine Website ein, ohne die Theme-Dateien anzufassen. Bis zur Umbenennung hieß es Insert Headers and Footers.[2] Gemeldet hat die Lücke ein Forscher namens Kenny von Greenhat Security. WPScan führt sie als CVE-2026-101301 und bewertet sie als mittelschwer.[1]
Das Wichtigste in Kürze
- CVE-2026-101301 betrifft WPCode 2.0.0 bis 2.3.9, behoben ist sie in 2.4.0 (CVSS 3.1: 5,3, vergeben von WPScan).
- Ohne Anmeldung ließ sich der Notfallmodus des Plugins für eigene Aufrufe einschalten.
- Betroffen sind alle automatisch eingefügten Snippets, auch solche, die Schnittstellen sperren.
- WPScan will den Beispielcode für einen Angriff am 26. Oktober veröffentlichen.
Wie wird aus einem Notfallmodus ein Schlupfloch?
Der Safe Mode von WPCode dient als Notausgang: Legt ein fehlerhaftes PHP-Snippet die Website lahm, schalten Administratoren damit alle automatisch eingefügten Snippets vorübergehend ab und suchen den Fehler. Laut Dokumentation wirkt der Modus nur für angemeldete Nutzer, die Snippets aktivieren dürfen.[3] Für die Anmeldeseite sah das Plugin allerdings eine Ausnahme vor.
Ob eine Anfrage tatsächlich der Anmeldeseite galt, prüfte WPCode bis Version 2.3.9 laut WPScan nicht korrekt. Jeder Besucher konnte den Modus so für seine eigenen Aufrufe auslösen.[1] Version 2.4.0 erlaubt den Notfallmodus laut Changelog nur noch Nutzern, die Snippets verwalten dürfen.[2] Code einschleusen oder Daten verändern lässt sich über die Lücke nach der Bewertung von WPScan nicht. Berichte über Angriffe liegen bis zum 15. Oktober nicht vor, die Lücke steht auf der Stufe Patch verfügbar.
Welche Schutz-Snippets laufen dann ins Leere?
Zu den meistgenutzten Vorlagen der WPCode-Bibliothek gehören Snippets, die XML-RPC oder die REST-Schnittstelle abschalten oder die WordPress-Versionsnummer verstecken.[4] Solche Sperren zählen zu den Standardtipps für mehr WordPress-Sicherheit. Im Notfallmodus führt WPCode keines dieser Snippets aus. Ob ein Angreifer so eine gesperrte Schnittstelle wieder erreicht, hängt von der Einbindung ab, Einzelheiten nennt WPScan nicht. Tracking- und Cookie-Codes fehlen dagegen nur im Browser des Angreifers, andere Besucher bemerken nichts.
Für WPCode ist es der fünfte Eintrag bei WPScan. Der schwerste stammt aus dem Mai: Bis Version 2.3.5 konnten Konten ab der Autorenrolle über XML-RPC Schadcode ausführen (CVSS 7,2).[5] Im Plugin-Verzeichnis steht WPBeginner-Gründer Syed Balkhi als Mitentwickler, ebenso bei WPForms, wo sich binnen 15 Tagen drei Lücken ohne Anmeldung häuften. Eine fehlende Rechteprüfung traf zuletzt auch Rank Math: Dort konnten Fremde ohne Anmeldung gespeicherte SEO-Analysen löschen.
Vom Patch bis zum Beispielcode
Ein Notausgang, den jeder Besucher öffnen kann, macht aus Sicherheits-Snippets eine unverbindliche Empfehlung.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Bringen Sie WPCode auf Version 2.4.0 oder neuer und prüfen Sie dabei, ob automatische Plugin-Updates eingeschaltet sind.
- Frist beachten: Spielen Sie das Update vor dem 26. Oktober ein, an dem WPScan den Beispielcode veröffentlichen will.
- Sperren doppelt setzen: Wichtige Sperren wie die Abschaltung von XML-RPC gehören zusätzlich in die Serverkonfiguration, etwa in die .htaccess, oder in ein Sicherheits-Plugin.
- Kundensites sortieren: Agenturen prüfen zuerst Installationen, auf denen WPCode Schutz-Snippets ausliefert.
Die DSGVO verpflichtet Betreiber, personenbezogene Daten nach dem Stand der Technik zu schützen (Art. 32).[6] Ein verfügbarer, aber nicht eingespielter Sicherheitspatch passt schlecht zu dieser Pflicht. Managed-Hoster spielen Plugin-Updates oft selbst ein, einen Überblick gibt der WordPress-Hosting-Vergleich.
FAQ: WPCode mit über 3 Millionen Installationen: Fremde konnten Code-Snippets umgehen
Was ist WPCode?
WPCode ist ein WordPress-Plugin, das Code-Schnipsel wie Tracking-Codes, CSS oder PHP-Funktionen in eine Website einbindet, ohne die Theme-Dateien zu ändern. Früher hieß das Plugin Insert Headers and Footers. Laut wordpress.org läuft WPCode auf mehr als 3 Millionen Websites.
Welche Version von WPCode ist sicher?
Sicher ist Version 2.4.0 vom 8. Oktober 2026 oder neuer. Die Versionen 2.0.0 bis 2.3.9 enthalten die Lücke CVE-2026-101301. Welche Version installiert ist, zeigt die Plugin-Übersicht im WordPress-Dashboard.
Was konnten Angreifer über die Lücke erreichen?
Angreifer schalteten ohne Anmeldung den Notfallmodus von WPCode für ihre eigenen Aufrufe ein. Dann lief keines der automatisch eingefügten Snippets, auch keine Sperren für Schnittstellen. Code einschleusen oder Daten verändern ließ sich laut WPScan nicht.
Wird die Lücke in WPCode schon ausgenutzt?
Bis zum 15. Oktober 2026 sind keine Angriffe bekannt, die US-Behörde CISA führt die Lücke nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. WPScan will am 26. Oktober Beispielcode für einen Angriff veröffentlichen.
Reicht ein Snippet, um XML-RPC abzuschalten?
Ein Snippet hängt am Plugin, das es ausführt. Fällt das Plugin aus oder lässt es sich umgehen, greift die Sperre nicht. Wichtige Sperren gehören deshalb zusätzlich in die Serverkonfiguration oder in ein Sicherheits-Plugin.
Quellen
6 Quellen anzeigenQuellen ausblenden
Mehr Newshunger?
- Ocean Extra mit über 500.000 Installationen: zweite Shortcode-Lücke ohne Login
- 10Web Booster: kritische Upload-Lücke ohne Login bei über 60.000 WordPress-Sites
- Click to Chat: kritische Lücke ohne Login im WhatsApp-Plugin mit über 600.000 Installationen
- Ghostscript-Lücke: Präparierte PDFs gefährden WordPress-Server
- Sicherheitslücke bei Bricksforge: Angreifer nutzen kritische Upload-Lücke ohne Login aus
- Kirki mit über 500.000 Installationen: Fremde können über die Registrierung Schadcode einschleusen
