LONDON (IT BOLTWISE) – Angreifer nutzen zwei kritische Lücken in WordPress-Plugins, um ohne Anmeldung Dateien mit PHP-Inhalt hochzuladen und anschließend Remote Code Execution auszuführen. Laut Wordfence wurden bereits über 250.000 bzw. 190.000 Exploitversuche gegen CVE-2026-14894 und CVE-2026-32475 blockiert. Entscheidend ist dabei, dass die betroffene Seite mindestens eine veröffentlichte Elementor-Seite mit einem Form-Widget und einem Feld für Dateiupload enthält. Betroffene sollten die Patches sofort installieren, danach nach Indikatoren von Kompromittierung suchen und untypische.php-Dateien prüfen.
Die aktuellen Angriffe zeigen einmal mehr, wie schnell eine scheinbar „harmlos“ wirkende Validierungslücke bei Upload-Funktionen in eine vollständige Systemkompromittierung kippen kann. Bei den betroffenen WordPress-Komponenten handelt es sich um zwei Plugins: Super Forms und Elementor Pro. In beiden Fällen reicht den Tätern eine Aktion ohne Authentifizierung, um eine Datei hochzuladen, die anschließend als PHP Code auf dem Server ausgeführt werden kann. Damit entsteht im Ergebnis häufig eine Webshell, über die sich weitere Schritte wie die Erstellung von Administratorzugängen oder das Ausleiten von Daten anstoßen lassen.
Technisch lassen sich die beiden Schwachstellen als Varianten derselben Grundklasse einordnen: Unzureichende Datei-Typ-Prüfung bei „Arbitrary File Upload“-Szenarien. Für Super Forms betrifft dies CVE-2026-14894 mit einem CVSS-Wert von 9,8. Laut den vorliegenden Befunden existiert dabei eine fehlende Validierung des Dateityps in der Drag-&-Drop-Form-Builder-Funktion, wodurch nicht nur „Bild-/PDF“-Uploads möglich sind, sondern auch ausführbare PHP-Dateien. Das Gegenstück im Elementor-Ökosystem ist CVE-2026-32475 mit einem CVSS-Wert von 9,0 bis 9,8: Hier können Angreifer ebenfalls unauthentifiziert Dateien beliebigen Typs inklusive.php hochladen, worauf Remote Code Execution möglich wird. Die Patches sind bereits veröffentlicht: Super Forms Version 6.3.314 sowie Elementor Pro Version 4.2.2 schließen die Lücken.
Für Betreiber ist die Abfolge der Ausnutzung besonders relevant, weil sie die „Precondition“ beschreibt, die viele WordPress-Seiten nicht automatisch erfüllen. Bei solchen Upload-Fehlern kann der Angreifer zwar primär eine Datei schreiben, aber die eigentliche Wirkung entfaltet sich erst, wenn das System den Inhalt anschließend als ausführbares PHP verarbeitet. Im Super-Forms-Fall nutzen die Angreifer dafür eine HTTP-POST-Anfrage an „/wp-admin/admin-ajax.php“ über den Endpoint „super_submit_form“. Der Upload wird über ein Feld im Formular ausgelöst; dabei platzieren die Angreifer eine Base64-kodierte PHP-Nutzlast in einer Zeichenkette, tarnen das Ganze zunächst über einen data: -artigen Präfix und geben zugleich einen Dateinamen an, der auf „.php“ hinausläuft. Aus der Perspektive der Abwehr bedeutet das: Ein reines „Check auf Dateiendung“ greift zu kurz, wenn die Validierung bereits vor dem tatsächlichen Schreiben der Datei nicht sauber arbeitet.
Was die Skalierung angeht, liefert die Zwischenbilanz ein klares Bild vom aktiven Missbrauch. In zwei Berichten dieser Woche beschreibt Wordfence, dass bereits mehr als 250.000 Exploitversuche gegen CVE-2026-14894 und rund 190.000 Versuche gegen CVE-2026-32475 blockiert wurden. Die IP-Adressen, die dabei als Ursprungspunkte genannt werden, umfassen unter anderem 103.168.147.235, 103.170.97.7 sowie 189.4.122.140. Für den Super-Forms-Komplex heißt es außerdem, dass die Aktivität bereits am 14. Juli 2026 einsetzte und am 18. August 2026 einen Peak von über 40.000 Exploit-Anfragen erreichte. Solche Zeitmuster passen zu typischen „Scan-and-Exploit“-Wellen nach Patch-/Leak- oder Entdeckungsphasen: Sobald sich die Angriffs-Logik stabilisieren lässt, automatisieren Täter die Suche nach passenden Targets.
Auch bei Elementor Pro ist das Muster nachvollziehbar, nur die Trigger-Mechanik ist eine andere. Dort soll der Upload des File-Upload-Feldes als Array übermittelt werden: Das erste Element ist dabei leer, das zweite enthält den PHP-Payload und trägt als Dateiname eine Endung, die die Validierung offenbar umgehen kann. Sobald die Datei geschrieben ist, wird sie in das Verzeichnis „/wp-content/uploads/elementor/forms/“ abgelegt – mit einem zufällig generierten Dateinamen, aber mit der vom Angreifer gelieferten.php-Endung. Der entscheidende Punkt für das Threat Modeling: Erfolgreiche Ausnutzung setzt offenbar voraus, dass die betroffene WordPress-Installation mindestens eine veröffentlichte Elementor-Seite besitzt, auf der ein Form-Widget mit einem File-Upload-Feld konfiguriert ist. Für CVE-2026-32475 starten die Ausnutzungsversuche demnach am 19. August 2026, und als Quellen werden unter anderem 185.196.220.85, 103.90.148.202 sowie 114.10.17.253 genannt.
Für die Umsetzung im Unternehmen ist jetzt weniger „Theorie“, sondern vor allem harte Hygiene gefragt. Wordfence empfiehlt, die Patches für beide Plugins unmittelbar einzuspielen, anschließend die Installation auf Indikatoren einer Kompromittierung zu prüfen und insbesondere Dateien zu auditieren, die nicht erwartbar sind oder kürzlich verändert wurden. Praktisch bedeutet das meist: Logs auf ungewöhnliche admin-ajax.php-Requests, ein Abgleich der Datei-Änderungszeiten in den Upload-Pfaden sowie ein gezielter Check auf unerwartete.php-Dateien in Verzeichnissen wie „/wp-content/uploads/elementor/forms/“. Wer parallel Sicherheitsprozesse aufbaut, sollte darüber hinaus „Upload-Pfade als Angriffsoberfläche“ behandeln und bei künftigen Updates die Plugin-Konfigurationen eng an tatsächliche Geschäftsanforderungen koppeln, statt Form-Funktionen länger offen zu lassen als nötig.
Aus Branchenperspektive ist die Kombination aus hohen CVSS-Werten (9,8 und bis zu 9,8) und einer sehr klaren Ausnutzbarkeit ein Warnsignal für das Patch-Management in WordPress-Umgebungen. Denn sobald Betreiber die Voraussetzung „Elementor-Seite mit File-Upload veröffentlicht“ erfüllen, reduziert sich die Angriffsarbeit für Täter häufig auf das automatisierte Ausrollen von Requests. Der Zeitraum von Wochen zwischen erster Aktivität und sichtbaren Peaks zeigt zudem, wie schnell sich Workflows für die Massenautomatisierung festigen. Wer heute handelt, verhindert nicht nur das akute Risiko; er unterbricht auch die für Angreifer typische Kette aus „Initial Access“ über Webshell bis zur Persistenz und späteren Datenabflüssen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "WordPress: Super Forms und Elementor Pro von RCE-Angriffen betroffen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "WordPress: Super Forms und Elementor Pro von RCE-Angriffen betroffen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »WordPress: Super Forms und Elementor Pro von RCE-Angriffen betroffen« bei Google Deutschland suchen, bei Bing oder Google News!