Beim Abmelden von einer WPML-Website mit eigener Domain je Sprache können Fremde das Konto übernehmen, auch das eines Administrators. Das Übersetzungs-Plugin läuft laut Hersteller auf mehr als 1,5 Millionen Websites, die Korrektur steckt seit Version 5.0.0 vom 13. September im Update.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die Sicherheitsfirma Wordfence hat in WPML eine Lücke gemeldet, die seit dem 10. November als CVE-2026-76877 in der NVD steht und mit 8,1 von 10 Punkten als hoch gilt.[1] Der Hersteller nennt in den Release-Notes zu Version 5.0.0 mehrere Sicherheitshärtungen, darunter eine von Wordfence gemeldete, die NVD verweist auf diese Seite.[2] WPML verkauft die Übersetzungslösung als Premium-Plugin, die Angabe zu den Websites stammt vom Hersteller selbst.[3]
Das Wichtigste in Kürze
- Betroffen sind laut NVD alle Versionen bis einschließlich 4.9.7. Die Bewertung lautet 8,1 (hoch, CVSS 3.1, vergeben von Wordfence).
- Angreifen kann jeder ohne Konto, aber nur bei Websites mit eigener Domain je Sprache und nur in einem kurzen Zeitfenster, in dem sich ein Nutzer abmeldet.
- Folge ist die Übernahme des Kontos, bis hin zum Administrator.
- Angriffe sind nicht bekannt, der Eintrag steht nicht im CISA-Katalog ausgenutzter Lücken (Stand 12. November).
Wie kommt ein Fremder über die Abmeldung an ein Konto?
WPML kann jede Sprache unter einer eigenen Domain ausliefern, etwa .de, .at und .ch. Damit Besucher beim Wechsel nicht jedes Mal neu anmelden oder abmelden müssen, reicht das Plugin die Sitzung an die anderen Domains weiter. Laut Beschreibung der NVD bekommt jede Weitergabe einen Schlüssel, den WPML beim Abmelden erzeugt.[1] Genau dort liegt der Fehler: Der Schlüssel ist nicht an die Person gebunden. Auf der Seite zur Abmeldung hat der Browser die Anmelde-Cookies bereits verworfen, das Session-Token, der Schlüssel für die laufende Verbindung, ist leer, und der Schlüssel entspricht dem einen Wert, den WordPress für alle nicht angemeldeten Besucher innerhalb von zwölf Stunden bildet.
Ein Fremder kann diesen Wert nach Angabe der NVD selbst berechnen. Er muss nur die Abmeldeseite aufrufen und den Moment erwischen, in dem sich ein anderer Nutzer abmeldet. Das Plugin ordnet den Schlüssel dem abmeldenden Konto zu. Legt ihn ein Fremder vor, erhält er Anmelde-Cookies für dieses Konto.[1] Das Zeitfenster beträgt laut NVD 60 Sekunden. Zu den Einzelheiten der Abfolge veröffentlicht dieser Artikel nichts, sie sind für Betreiber auch nicht nötig.
Warum bleibt der Fall trotz 8,1 ein enges Ziel?
Der Vektor der Bewertung nennt eine hohe Angriffskomplexität.[1] Es gibt keinen Dauerzugang: Der Angreifer braucht einen Abmelde-Vorgang im richtigen Moment und eine Website, die Sprachen über getrennte Domains betreibt. Je mehr Redakteure und Kunden sich abmelden, desto öfter öffnet sich das Fenster. Bei Websites mit Mitgliederbereich oder Shop ist das rechnerisch häufiger der Fall als bei einem reinen Firmenauftritt. Wie viele der 1,5 Millionen Websites die Domain-Variante nutzen, nennt weder der Hersteller noch Wordfence.
Der Ablauf bis heute
| Datum | Ereignis | Quelle |
|---|---|---|
| 13. September | WPML 5.0.0 mit Sicherheitshärtungen, eine davon von Wordfence gemeldet | WPML |
| 16. September | WPML 5.0.1 mit Fehlerkorrekturen, ohne Sicherheitseintrag | WPML |
| 10. November | CVE-2026-76877 erscheint in der NVD | NVD |
| 11. November | Bewertung 8,1 hoch ergänzt | NVD, Wordfence |
| 12. November | Keine Angriffe bekannt, nicht im CISA-Katalog | Stand heute |
Stand: Lücke öffentlich bekannt, Update verfügbar. Betroffen sind nur Websites mit eigener Domain je Sprache.
Auffällig ist der zeitliche Abstand. WPML hat die Härtung am 13. September ausgeliefert, die NVD hat den Eintrag knapp zwei Monate später aufgenommen.[2] Ob der Hersteller die Lücke vor dem Update als solche eingestuft hat, geht aus den Release-Notes nicht hervor, sie sprechen nur von Härtungen. Betreiber, die das Update bis heute nicht eingespielt haben, haben nun einen Grund. Bei Premium-Plugins kommt eine Hürde hinzu: Das Update erscheint laut WPML nur für Kunden mit aktivem Abonnement.[2]
Das Muster ist nicht neu. Dr. Web hat zuletzt über die Authentifizierungs-Umgehungen bei Burst Statistics und beim All In One Login berichtet. Dort fehlte eine Prüfung, bei WPML ist sie vorhanden, aber an die falsche Größe geknüpft. Auch das Konkurrenz-Plugin TranslatePress war in diesem Monat Thema.
Ein Schlüssel, der für jeden Besucher gleich aussieht, ist kein Schlüssel. Beim Abmelden darf kein Fremder dieselbe Tür öffnen.
Michael Dobler, Herausgeber Dr. Web
Was sollten Betreiber mehrsprachiger Websites jetzt tun?
- Aktualisieren: Spielen Sie WPML in Version 5.0.0 oder neuer ein. Prüfen Sie vorher, ob die Lizenz aktiv ist, sonst erscheint das Update nicht.
- Konfiguration klären: Schauen Sie in den WPML-Spracheinstellungen nach, ob jede Sprache eine eigene Domain hat. Nur dann ist die Website angreifbar.
- Konten prüfen: Kontrollieren Sie die Administratoren auf unbekannte Konten und die Anmeldeprotokolle auf Zugriffe zu ungewöhnlichen Zeiten. Bei Verdacht erneuern Sie Passwörter und beenden alle Sitzungen.
- Übergangsweise: Melden sich Administratoren bis zum Update möglichst selten ab, oder schalten sie die Domain-Variante vorübergehend ab.
- Meldepflicht klären: Hat ein Fremder ein Konto mit Zugriff auf personenbezogene Daten übernommen, prüfen Sie die Meldung binnen 72 Stunden (Art. 33 DSGVO).[6]
Für Unternehmen im deutschsprachigen Raum ist die Domain-Variante ein gängiger Aufbau, etwa mit je einer Adresse für Deutschland, Österreich und die Schweiz. Agenturen sollten deshalb zuerst die Kundenwebsites mit Mitgliederbereich oder Shop prüfen. Die DSGVO verlangt in Art. 32 geeignete Sicherheitsmaßnahmen, ein ungepatchtes Premium-Plugin mit bekannter Lücke lässt sich dort schwer begründen.[6] Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, Managed-Hoster nennt der WordPress-Hosting-Vergleich. Wie Mehrsprachigkeit in WordPress aufgebaut wird, zeigt die Anleitung mehrsprachige Seite in WordPress.
FAQ: Sicherheitslücke bei WPML
Welche WPML-Version schließt die Sicherheitslücke?
Betroffen sind laut NVD alle Versionen bis einschließlich 4.9.7. WPML 5.0.0 vom 13. September 2026 nennt Sicherheitshärtungen, darunter eine von Wordfence gemeldete. Installieren Sie 5.0.0 oder neuer.
Sind alle WPML-Websites betroffen?
Nein, der Fehler steckt laut NVD in der Anmeldung über getrennte Domains je Sprache. Websites, die alle Sprachen unter einer Domain ausliefern, nutzen diesen Weg nicht. Der Angriff ist außerdem nur in einem kurzen Zeitfenster möglich.
Wird die WPML-Lücke schon ausgenutzt?
Bis zum 12. November 2026 liegen keine Berichte über Angriffe vor, und der Eintrag steht nicht im Katalog der US-Behörde CISA für aktiv ausgenutzte Schwachstellen. Das kann sich ändern, deshalb sollte das Update bald laufen.
Bekomme ich das WPML-Update auch ohne Lizenz?
Nein, laut WPML erscheint ein Update nur für Kunden mit aktivem Abonnement in der Plugin-Liste. Läuft die Lizenz nicht mehr, erneuern Sie sie oder laden das Plugin nach Verlängerung manuell herunter.
Quellen
6 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-76877, aufgenommen am 10. November 2026, abgerufen am 12. November 2026
- WPMLRelease-Notes WPML Multilingual CMS 5.0.0 vom 13. September 2026 und 5.0.1 vom 16. September 2026, abgerufen am 12. November 2026
- WPMLHerstellerangabe zur Verbreitung (über 1,5 Millionen Websites), abgerufen am 12. November 2026
- CISAKatalog bekannter ausgenutzter Schwachstellen, Abgleich am 12. November 2026
- WordfenceEintrag in der Wordfence Threat Intelligence, in der NVD als Referenz genannt
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 32 und 33
Mehr Newshunger?
- Schwere Sicherheitslücke bei TranslatePress
- Kritische Sicherheitslücke bei All In One Login
- Burst Statistics: 200.000 WP-Sites in 15 Tagen geknackt
- Bridge-Theme: Kritische Sicherheitslücke im Mitglieder-Plugin macht Fremde zu Administratoren
- Username genügt: WordPress-Plugin öffnet Admin-Tür ohne Passwort
- WordPress Wartung: Darum sind monatliche Checks günstiger als ein Notfall
