Das Wichtigste in Kürze
- Die WordPress-Erweiterung Everest Forms hat eine kritische Lücke: CVE-2026-19598.
- Betroffen sind alle Versionen vor 3.0.9.5 — laut Wordfence über 100.000 aktive Installationen.
- Angreifer brauchen keinen Account: Sie laden Dateien hoch und führen fremden Code aus.
- Sofort updaten. Danach den Upload-Ordner auf fremde PHP-Dateien prüfen.
Wenn du auf deiner WordPress-Seite ein Kontaktformular betreibst, solltest du jetzt kurz innehalten. In der Erweiterung Everest Forms steckt eine Sicherheitslücke, die schlimmer kaum sein könnte — und das Formular selbst ist die offene Tür.
Was genau passiert ist
Die Sicherheitsfirma Wordfence hat die Schwachstelle unter der Kennung CVE-2026-19598 veröffentlicht. Sie steckt in allen Versionen von Everest Forms vor 3.0.9.5. Nach Wordfence-Angaben sind mehr als 100.000 Webseiten betroffen.
Der Kern des Problems: Die Datei-Upload-Funktion prüft nicht ausreichend, was da eigentlich hochgeladen wird. Ein Angreifer kann deshalb eine Datei mit Programmcode auf den Server schieben — und die dann aufrufen. Ab diesem Moment läuft fremder Code auf deinem Webspace.
Das Gefährliche: kein Login nötig
Viele Plugin-Lücken setzen voraus, dass ein Angreifer schon einen Account hat — etwa als Autor oder Abonnent. Hier nicht. Die Lücke ist unauthentifiziert ausnutzbar. Es reicht, dass dein Formular öffentlich erreichbar ist. Und genau das ist es ja, sonst wäre es kein Kontaktformular.
In der Praxis heißt das: Jeder, der deine Seite aufrufen kann, kann den Angriff versuchen. Automatisierte Scanner, die das ganze Netz nach verwundbaren WordPress-Seiten absuchen, sind bei solchen Lücken erfahrungsgemäß schnell zur Stelle.
Was ein Angreifer damit anstellen kann
Wer Code auf deinem Server ausführen darf, hat praktisch freie Hand. Typische Folgen:
- Hintertür einbauen — eine unauffällige PHP-Datei, über die man jederzeit zurückkommt.
- Admin-Konto anlegen — und danach ganz normal im Backend arbeiten.
- Spam und Weiterleitungen — deine Seite verteilt plötzlich fremde Werbung oder schickt Besucher woanders hin.
- Datenbank auslesen — inklusive Nutzerdaten und Formular-Einsendungen deiner Besucher.
Besonders bitter: Solche Übernahmen fallen oft wochenlang nicht auf, weil die Seite äußerlich normal weiterläuft.
So handelst du jetzt richtig
Schritt 1 — Version prüfen. Geh im WordPress-Backend auf Plugins und such nach Everest Forms. Steht dort eine Nummer kleiner als 3.0.9.5, bist du betroffen.
Schritt 2 — Updaten. Die reparierte Fassung ist 3.0.9.5. Das Update dauert Sekunden und ist der wichtigste Schritt überhaupt.
Schritt 3 — Nachsehen, ob schon jemand da war. Sieh in wp-content/uploads/ nach: Dort haben PHP-Dateien nichts zu suchen. Findest du eine, ist das ein sehr deutliches Warnsignal.
Schritt 4 — Benutzerliste kontrollieren. Unter Benutzer sollte kein Administrator stehen, den du nicht selbst angelegt hast.
Schritt 5 — Wenn du das Plugin gar nicht brauchst: deaktivieren und löschen. Ein Plugin, das nicht installiert ist, kann auch nicht angegriffen werden.
Und wenn es dich schon erwischt hat?
Dann reicht ein Update leider nicht mehr — die Hintertür bleibt ja bestehen. In dem Fall: Passwörter aller Admin-Konten ändern, Sicherheitsschlüssel in der wp-config.php erneuern und im Zweifel ein sauberes Backup von vor dem Vorfall zurückspielen.
Warum Formular-Plugins so oft betroffen sind
Formulare sind der eine Ort auf einer Webseite, an dem Fremde absichtlich Daten hinschicken dürfen. Kommen Datei-Uploads dazu — für Bewerbungen, Fotos, Belege —, wächst die Angriffsfläche zusätzlich. Jede dieser Funktionen muss sauber prüfen, was ankommt. Wird an einer Stelle geschlampt, steht die Tür offen.
Die praktische Konsequenz für dich: Halte die Zahl deiner Plugins klein und die installierten aktuell. Automatische Updates für Sicherheits-Releases sind bei WordPress kein Luxus, sondern Grundausstattung.
Häufige Fragen
Bin ich betroffen, wenn ich Everest Forms gar nicht nutze?
Nein. Die Lücke betrifft ausschließlich das Plugin Everest Forms. Andere Formular-Erweiterungen sind davon nicht berührt — was natürlich nicht heißt, dass sie generell fehlerfrei wären.
Reicht es, das Plugin zu deaktivieren statt zu updaten?
Deaktivieren nimmt die Gefahr aus dem Betrieb, weil das Plugin dann keine Anfragen mehr verarbeitet. Sauberer ist trotzdem: updaten, wenn du es brauchst — oder komplett löschen, wenn nicht.
Woran erkenne ich, ob meine Seite schon übernommen wurde?
Typische Anzeichen sind unbekannte Administrator-Konten, PHP-Dateien im Upload-Ordner, plötzliche Weiterleitungen auf fremde Seiten oder Warnungen von Google in der Search Console.
Schützt mich mein Hoster automatisch?
Manche Hoster spielen Sicherheits-Updates für populäre Plugins selbst ein oder blocken bekannte Angriffsmuster per Web Application Firewall. Verlassen solltest du dich darauf nicht — prüf die Version lieber selbst nach.