Elementor Pro läuft auf Millionen WordPress-Seiten. Wenn dort ein Loch klafft, ist das keine Randnotiz — das ist eine Einladung an jeden, der einen Scanner bedienen kann.
Die Schwachstelle trägt die Nummer CVE-2026-32475, betrifft alle Versionen bis einschließlich 4.2.1 und ist seit dem 19. August in Version 4.2.2 behoben. Wer seine Updates automatisch einspielt, ist vermutlich schon sicher. Wer sie manuell prüft, sollte das jetzt tun.
Das Problem sitzt im Kontaktformular
Elementor Pro bringt ein Formular-Widget mit, das viele Seitenbetreiber für Kontaktanfragen, Bewerbungen oder Support-Tickets nutzen. Praktisch daran: Besucher können Dateien anhängen — den Lebenslauf, einen Screenshot, ein Angebot.
Genau dieses Datei-Upload-Feld prüft nicht streng genug, was da eigentlich hochgeladen wird. Im Ergebnis lässt sich Code auf den Server bringen und dort ausführen. Das nennt man Remote Code Execution, kurz RCE — und es ist die schwerste Klasse von Sicherheitslücke, die eine Website erwischen kann.
Der Unterschied zu einer harmlosen Lücke: Bei RCE bekommt der Angreifer keinen Zugriff auf ein einzelnes Formular, sondern auf die gesamte Installation. Datenbank, Kundendaten, Mail-Versand, andere Seiten auf demselben Server — alles in Reichweite.
Warum das gerade jetzt heikel ist
WordPress-Lücken haben einen typischen Verlauf. Zuerst die stille Meldung an den Hersteller, dann der Patch, dann die öffentliche Beschreibung — und wenige Tage später rollen die automatisierten Angriffe. Wir sind gerade in Phase drei. Elementor Pro ist so weit verbreitet, dass sich der Aufwand für Angreifer garantiert lohnt.
Hinzu kommt: Elementor Pro ist die kostenpflichtige Erweiterung. Sie aktualisiert sich nur, wenn deine Lizenz aktiv und korrekt hinterlegt ist. Genau daran scheitert es in der Praxis oft — Lizenz abgelaufen, Update-Hinweis übersehen, Plugin bleibt auf altem Stand.
So gehst du vor
- Version nachsehen: Im WordPress-Backend unter Plugins → Installierte Plugins steht die Elementor-Pro-Version. Alles unter 4.2.2 muss weg.
- Lizenz prüfen: Zeigt Elementor keine Update-Option an, ist meist die Lizenz nicht verbunden. Unter Elementor → Lizenz nachsehen.
- Upload-Ordner kontrollieren: Sieh in
/wp-content/uploads/nach Dateien mit der Endung.php, die dort nichts zu suchen haben. Achte besonders auf Ordner mit dem aktuellen Datum. - Upload-Feld hinterfragen: Brauchst du den Datei-Anhang im Formular wirklich? Wenn nicht, raus damit. Jede Funktion, die du nicht nutzt, ist eine Angriffsfläche weniger.
- PHP-Ausführung im Upload-Ordner sperren: Ein serverseitiges Verbot, PHP-Dateien aus
uploadsauszuführen, entschärft diese ganze Angriffsklasse dauerhaft — auch bei der nächsten Lücke.
Nicht das einzige Formular-Problem dieses Monats
Der August war für WordPress-Formulare kein guter Monat. Auch Everest Forms und TranslatePress mussten kritische Lücken schließen, beide mit einem CVSS-Wert von 9,8. Das Muster dahinter ist immer dasselbe: Formulare nehmen Eingaben von völlig fremden Menschen entgegen. Sie sind damit der offenste Teil jeder Website.
Die praktische Konsequenz für dich: Halte die Zahl der aktiven Plugins klein, aktiviere automatische Updates für alles, was Nutzereingaben verarbeitet, und lege dir ein Backup-System zu, das du im Ernstfall auch wirklich zurückspielen kannst.