#Netzwerk & Sicherheit · 4 Min. Lesezeit · Tim Rinkel

UPLOAD-FALLE! Dein Elementor-Formular lässt Fremde Code auf den Server schieben

UPLOAD-FALLE! Dein Elementor-Formular lässt Fremde Code auf den Server schieben

Elementor Pro läuft auf Millionen WordPress-Seiten. Wenn dort ein Loch klafft, ist das keine Randnotiz — das ist eine Einladung an jeden, der einen Scanner bedienen kann.

Die Schwachstelle trägt die Nummer CVE-2026-32475, betrifft alle Versionen bis einschließlich 4.2.1 und ist seit dem 19. August in Version 4.2.2 behoben. Wer seine Updates automatisch einspielt, ist vermutlich schon sicher. Wer sie manuell prüft, sollte das jetzt tun.

Das Problem sitzt im Kontaktformular

Elementor Pro bringt ein Formular-Widget mit, das viele Seitenbetreiber für Kontaktanfragen, Bewerbungen oder Support-Tickets nutzen. Praktisch daran: Besucher können Dateien anhängen — den Lebenslauf, einen Screenshot, ein Angebot.

Genau dieses Datei-Upload-Feld prüft nicht streng genug, was da eigentlich hochgeladen wird. Im Ergebnis lässt sich Code auf den Server bringen und dort ausführen. Das nennt man Remote Code Execution, kurz RCE — und es ist die schwerste Klasse von Sicherheitslücke, die eine Website erwischen kann.

Der Unterschied zu einer harmlosen Lücke: Bei RCE bekommt der Angreifer keinen Zugriff auf ein einzelnes Formular, sondern auf die gesamte Installation. Datenbank, Kundendaten, Mail-Versand, andere Seiten auf demselben Server — alles in Reichweite.

Warum das gerade jetzt heikel ist

WordPress-Lücken haben einen typischen Verlauf. Zuerst die stille Meldung an den Hersteller, dann der Patch, dann die öffentliche Beschreibung — und wenige Tage später rollen die automatisierten Angriffe. Wir sind gerade in Phase drei. Elementor Pro ist so weit verbreitet, dass sich der Aufwand für Angreifer garantiert lohnt.

Hinzu kommt: Elementor Pro ist die kostenpflichtige Erweiterung. Sie aktualisiert sich nur, wenn deine Lizenz aktiv und korrekt hinterlegt ist. Genau daran scheitert es in der Praxis oft — Lizenz abgelaufen, Update-Hinweis übersehen, Plugin bleibt auf altem Stand.

So gehst du vor

  1. Version nachsehen: Im WordPress-Backend unter Plugins → Installierte Plugins steht die Elementor-Pro-Version. Alles unter 4.2.2 muss weg.
  2. Lizenz prüfen: Zeigt Elementor keine Update-Option an, ist meist die Lizenz nicht verbunden. Unter Elementor → Lizenz nachsehen.
  3. Upload-Ordner kontrollieren: Sieh in /wp-content/uploads/ nach Dateien mit der Endung .php, die dort nichts zu suchen haben. Achte besonders auf Ordner mit dem aktuellen Datum.
  4. Upload-Feld hinterfragen: Brauchst du den Datei-Anhang im Formular wirklich? Wenn nicht, raus damit. Jede Funktion, die du nicht nutzt, ist eine Angriffsfläche weniger.
  5. PHP-Ausführung im Upload-Ordner sperren: Ein serverseitiges Verbot, PHP-Dateien aus uploads auszuführen, entschärft diese ganze Angriffsklasse dauerhaft — auch bei der nächsten Lücke.

Nicht das einzige Formular-Problem dieses Monats

Der August war für WordPress-Formulare kein guter Monat. Auch Everest Forms und TranslatePress mussten kritische Lücken schließen, beide mit einem CVSS-Wert von 9,8. Das Muster dahinter ist immer dasselbe: Formulare nehmen Eingaben von völlig fremden Menschen entgegen. Sie sind damit der offenste Teil jeder Website.

Die praktische Konsequenz für dich: Halte die Zahl der aktiven Plugins klein, aktiviere automatische Updates für alles, was Nutzereingaben verarbeitet, und lege dir ein Backup-System zu, das du im Ernstfall auch wirklich zurückspielen kannst.

Häufige Fragen

Ist die kostenlose Elementor-Version auch betroffen?
Die Lücke steckt im Formular-Widget, das Teil von Elementor Pro ist. Die kostenlose Basisversion bringt dieses Widget nicht mit. Trotzdem gilt: Halte auch das Gratis-Plugin aktuell, denn beide Teile greifen ineinander und Elementor veröffentlicht regelmäßig Sicherheitsupdates für beide.
Wie erkenne ich, ob meine Seite bereits angegriffen wurde?
Sieh im Upload-Verzeichnis nach PHP-Dateien, prüfe die Liste der Administratorkonten auf unbekannte Namen und wirf einen Blick auf die zuletzt geänderten Dateien im WordPress-Verzeichnis. Ein Sicherheits-Plugin mit Dateiintegritätsprüfung meldet solche Veränderungen zuverlässig.
Kann ich das Update gefahrlos einspielen?
In aller Regel ja, 4.2.2 ist ein reines Sicherheitsupdate innerhalb derselben Hauptversion. Lege trotzdem vorher ein Backup an und sieh dir nach dem Update deine wichtigsten Seiten an. Wer eine Staging-Umgebung hat, testet dort zuerst — das kostet zehn Minuten und erspart im Zweifel den ganzen Tag.

Quellen

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert