Ein kleines Zusatz-Plugin für das beliebte Contact Form 7 reißt gerade ein großes Loch in tausende WordPress-Seiten. Die Lücke CVE-2026-94589 im Plugin „Extensions For CF7“ erlaubt es Angreifern, ohne jeden Login beliebige Dateien auf den Server zu laden — und damit im schlimmsten Fall die komplette Webseite zu übernehmen.
WAS GENAU KAPUTT IST
„Extensions For CF7“ erweitert das Original-Plugin Contact Form 7 um Datenbank-Anbindung, bedingte Felder und Weiterleitungen. Genau in dieser Erweiterung sitzt der Fehler: Die Funktion extcf7_submit prüft beim Hochladen einer Datei über das Signatur-Feld weder die Dateiendung noch den MIME-Typ noch die Dateigröße richtig. Zusätzlich fehlt im Upload-Verzeichnis ein Schutz gegen die Ausführung von PHP-Dateien — und eine an sich sinnvolle Bereinigungsfunktion lässt sich aushebeln: Aus einem Dateinamen wie shell.php- wird nach der Bereinigung schlicht shell.php.
In der Summe heißt das: Ein Angreifer lädt eine ausführbare PHP-Datei hoch, ruft sie danach direkt im Browser auf — und hat damit Schadcode-Ausführung auf deinem Server. Alles ohne Benutzerkonto, ohne Passwort, ohne Klick von dir.
WARUM DIE EINSTUFUNG SO HART AUSFÄLLT
Die Schwachstelle wurde von Wordfence als CNA gemeldet und am 10. Oktober 2026 bei der NVD veröffentlicht — zum Zeitpunkt dieses Artikels also erst wenige Stunden alt. Der CVSS-3.1-Wert liegt bei 9,8, der zweithöchsten Stufe überhaupt: Angriffsvektor Netzwerk, geringe Komplexität, keine Rechte und keine Nutzerinteraktion nötig, volle Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.
Betroffen sind alle Plugin-Versionen bis einschließlich 3.4.5. Nach Angaben der Plugin-Statistiken im WordPress-Verzeichnis läuft die Erweiterung auf mehreren Zehntausend aktiven Installationen — für ein Nischen-Zusatzplugin eine beachtliche Verbreitung, gerade weil viele Admins ihre CF7-Erweiterungen seltener im Blick haben als das Hauptformular-Plugin selbst.
SO SCHÜTZT DU DEINE SEITE — JETZT
Der Hersteller hat bereits reagiert: Version 3.4.6 behebt die fehlende Validierung. Für dich heißt das konkret:
- Prüfe im WordPress-Plugin-Bereich, ob „Extensions For CF7“ installiert ist, und aktualisiere sofort auf 3.4.6 oder neuer.
- Kannst du nicht sofort updaten, deaktiviere das Plugin vorübergehend komplett — ein Formular-Zusatzfeature ist es nicht wert, deinen ganzen Server zu riskieren.
- Durchsuche dein
wp-content/uploads-Verzeichnis nach verdächtigen, unbekannten PHP-Dateien, falls du die Lücke schon vor dem Update bereits offen hattest.
Themen-Hinweis: Erst gestern ging mit Bricksforge ein weiteres WordPress-Plugin mit CVSS-10,0-Lücke durch die Schlagzeilen. Zwei kritische Plugin-Lücken binnen zwei Tagen zeigen: Es lohnt sich, nicht nur die großen Haupt-Plugins, sondern auch jede kleine Erweiterung regelmäßig zu aktualisieren.