Ausgerechnet das beliebteste Formular-Plugin für WordPress wird gerade zur offenen Tür. Gravity Forms läuft nach eigenen Angaben auf mehreren Millionen Webseiten — Kontaktformulare, Bewerbungen, Ticket-Systeme, auch dieser Blog hier ist als WordPress-Installation grundsätzlich in derselben Zielgruppe. Und genau in diesem Plugin klafft seit dem 18. September 2026 eine Lücke mit der höchstmöglichen Praxis-Relevanz: CVSS 9,8, kein Login nötig, ein fertiges Angriffsskript kursiert bereits öffentlich.
WAS GENAU KAPUTT IST
Die Lücke trägt die Kennung CVE-2026-84434 und sitzt in der Funktion upload_file(). Der Fehler ist technisch unspektakulär, aber wirkungsvoll: Gravity Forms prüft Datei-Endungen und Dateitypen in einer Pipeline für die Anzeige des Formulars — und in einer anderen Pipeline für die tatsächliche Speicherung der Datei. Diese beiden Prüfungen laufen nicht synchron.
Konkret: Ein Formular mit einem Datei-Upload-Feld, dessen Sichtbarkeit auf „Versteckt“ gestellt ist, überspringt die Endungsprüfung beim Absenden. Wird die eigentlich abgelehnte Datei anschließend trotzdem an upload_file() übergeben, findet keine erneute Prüfung mehr statt. Das Ergebnis: Ein nicht angemeldeter Angreifer lädt eine ausführbare Datei hoch — und damit ist der Weg zur Codeausführung auf dem Server frei.
GEFAHR! Der Exploit ist schon im Umlauf
Anders als bei vielen frisch veröffentlichten Lücken ist hier keine Vorlaufzeit mehr vorhanden. Auf GitHub kursiert bereits ein Werkzeug, das gezielt nach verwundbaren Installationen sucht und den Angriff automatisiert durchführt — inklusive Massen-Scan-Funktion für ganze IP-Bereiche. Das bedeutet: Es braucht keinen gezielten Angreifer, der sich extra für deine Seite interessiert. Automatisierte Scanner klappern gerade jetzt öffentlich erreichbare WordPress-Installationen ab.
Wichtig für die Einordnung: Die Lücke greift nur, wenn ein Formular auf der Seite ein Datei-Upload-Feld mit der Sichtbarkeit „Versteckt“ enthält. Solche Felder werden häufig für interne Zwecke eingesetzt — etwa um bei bestimmten Formularpfaden automatisch Dateien im Hintergrund mitzuschicken, ohne dass Besucher sie sehen. Genau diese unauffällige Praxis macht die Lücke gefährlich: Niemand achtet auf ein Feld, das man selbst nie zu Gesicht bekommt.
WER WIRKLICH BETROFFEN IST
Betroffen sind alle Versionen von Gravity Forms bis einschließlich 3.1.0.4. Da das Plugin sowohl bei kleinen Vereins- und Selbstständigen-Seiten als auch bei größeren Unternehmensauftritten verbreitet ist, reicht das Risiko von der privaten Homepage bis zum Firmen-Webshop. Entdeckt und gemeldet wurde die Lücke von der Sicherheitsforschung 0xd4rk5id3 (EnvoraSec) über das Bug-Bounty-Programm von Patchstack.
SO PRÜFST UND PATCHST DU SOFORT — in 10 MINUTEN
- Version prüfen: Im WordPress-Adminbereich unter Plugins nachsehen, welche Gravity-Forms-Version installiert ist.
- Sofort aktualisieren: Die korrigierte Version 3.1.0.5 gleicht die beiden Prüf-Pipelines wieder ab — unabhängig von der Sichtbarkeit eines Feldes wird jetzt jede Datei konsequent geprüft.
- Formulare durchsehen: Enthält eines deiner Formulare ein Datei-Upload-Feld mit Sichtbarkeit „Versteckt“? Falls ja, prüfe nach dem Update zusätzlich, ob dieses Feld überhaupt noch gebraucht wird.
- Uploads kontrollieren: Sieh im Upload-Verzeichnis nach ungewöhnlichen Dateien mit ausführbaren Endungen, die dort nicht hingehören — vor allem, wenn ein Update erst jetzt nachgeholt wird.
- Bei Verdacht: Zugangsdaten neu setzen und einen Malware-Scan der gesamten Installation durchführen, wenn Update erst nach Tagen erfolgte.
FAZIT: Formular-Plugins sind kein Nebenschauplatz
Der Fall zeigt ein Muster, das bei WordPress-Sicherheit gerne unterschätzt wird: Nicht nur offensichtlich mächtige Plugins wie Backup-Tools oder Seitenersteller sind ein lohnendes Ziel — auch ein simples Kontaktformular kann zur Root-Tür werden, wenn zwei Code-Pfade nicht dasselbe prüfen. Wer Gravity Forms einsetzt, sollte diese Aktualisierung nicht auf die lange Bank schieben. Ein öffentlicher Exploit plus automatisierte Scanner bedeutet: Die Uhr läuft bereits.