Ausgerechnet das Plugin, das deine WordPress-Seite vor Angreifern schützen soll, hat selbst eine Hintertür. Advanced IP Blocker wirbt mit Firewall, Geoblocking und eigener Zwei-Faktor-Authentifizierung — und genau in dieser 2FA klafft jetzt eine kritische Lücke mit der Höchstbewertung CVSS 9,8. Die Kennung: CVE-2026-104732.
DIE 2FA, DIE KEINE 2FA MEHR IST
Der Fehler sitzt in der Funktion handle_login_action(). Sie prüft nicht, ob ein Angreifer überhaupt den ersten Schritt — die normale Passwort-Eingabe — abgeschlossen hat, bevor sie den zweiten Schritt mit dem TOTP-Code verarbeitet. Schickt ein Angreifer einfach eine fehlerhafte Anfrage, stellt das Plugin sogar bereitwillig einen frischen Sicherheits-Token für genau diesen zweiten Schritt aus — ganz ohne Passwort. Dieser Token ist zudem für jeden Angreifer gleich gültig, weil er gegen einen fest codierten, leeren Sitzungs-Kontext berechnet wird, statt an eine echte, bereits authentifizierte Sitzung gebunden zu sein.
EIN SECHSSTELLIGER CODE, UNBEGRENZT VIELE VERSUCHE
Damit bleibt nur noch eine Hürde: der sechsstellige TOTP-Code. Normalerweise soll ein Angreifer bei falschen Codes ausgebremst werden. Genau das passierte hier aber nicht — kein Versuchslimit, keine Sperre, kein Eintrag im WordPress-eigenen Fehlschlag-Protokoll. Ein Angreifer kann also so lange raten, bis einer der rund eine Million möglichen Codes passt, und bekommt danach ganz offiziell ein gültiges Login-Cookie von WordPress selbst ausgestellt — per wp_set_auth_cookie, ohne je ein Passwort eingegeben zu haben. Die einzige Voraussetzung: Er muss wissen, für welche Benutzer-ID er es versucht. Bei Administrator-Konten mit der ID 1 oder 2 ist das meist keine große Hürde.
WER BETROFFEN IST
Betroffen sind alle Versionen von Advanced IP Blocker bis einschließlich 8.13.13 — aber nur Konten, bei denen die plugin-eigene Zwei-Faktor-Authentifizierung aktiv ist. Ohne aktivierte 2FA existiert der fehlerhafte Code-Pfad gar nicht erst. Laut WordPress.org zählt das Plugin aktuell gut 2.000 aktive Installationen — überschaubar im Vergleich zu Massen-Plugins, aber jede betroffene Seite ist potenziell ein komplett übernehmbares Administrator-Konto. Entdeckt hat die Lücke die automatisierte Sicherheitsanalyse Wordfence PRISM, die sie am 2. Oktober 2026 an den Hersteller meldete. Veröffentlicht wurde der CVE-Eintrag am 10. Oktober 2026, eine aktive Ausnutzung in freier Wildbahn ist bislang nicht bekannt.
DER HERSTELLER HAT SCHON DREIMAL NACHGEBESSERT
Die gute Nachricht: Der Entwickler hat reagiert, und zwar gleich mehrfach. Version 8.13.14 schließt die eigentliche Bypass-Lücke und führt eine echte Sperre ein — nach fünf Fehlversuchen ist ein Konto 15 Minuten lang blockiert, und Fehlschläge tauchen jetzt auch im normalen WordPress-Protokoll auf, kompatibel mit Tools wie Fail2Ban. Version 8.13.15 macht Versuchslimit und Sperrzeit konfigurierbar. Und erst Version 8.13.16, die aktuelle Fassung, schließt einen zweiten, verwandten Bypass über die XML-RPC-Schnittstelle und verschiebt den Zwischen-Token aus der URL in ein abgesichertes Cookie.
Was du jetzt konkret tun solltest:
- Version in der Plugins-Übersicht prüfen — alles unter 8.13.14 ist verwundbar.
- Sofort auf mindestens 8.13.14, besser direkt auf 8.13.16 aktualisieren.
- War 2FA aktiv: sicherheitshalber alle Administrator-Sitzungen beenden und Passwörter neu setzen.