WordPress: Spectra-RCE und zwei weitere Plugin-Lücken

Achtung, WordPress-Betreiber! Gleich drei beliebte Plugins haben am 30. Mai frische Sicherheitslücken bekommen — und eine davon ist ein echter Albtraum: Sie kann Angreifern die komplette Kontrolle über deinen Server geben. Wenn du eines dieser Plugins nutzt, solltest du jetzt nicht weiterscrollen, sondern updaten.

GEFAHR 1: Spectra — vom Autor zum Server-Boss

Das populäre Block-Editor-Plugin Spectra (früher Ultimate Addons for Gutenberg) ist mit CVE-2026-7465 betroffen — bis einschließlich Version 2.19.25. Bewertung: CVSS 8.8. Das Tückische: Schon ein Konto mit Contributor-Rechten reicht, um beliebigen PHP-Code auszuführen. Der Angreifer registriert über einen manipulierten Block einen gefälschten Block-Typ mit eigenem render_callback — und schon läuft sein Code auf deinem Server.

Fix: Update auf Spectra 2.19.26 oder neuer. Gerade Seiten mit offener Nutzer-Registrierung sind hochgefährdet, weil sich Angreifer selbst ein Contributor-Konto anlegen können.

GEFAHR 2: Simple History — vom Abonnenten zum Admin

Das Audit-Log-Plugin Simple History (bis 5.26.0) hat mit CVE-2026-7459 (CVSS 7.5) eine Rechteausweitung. Über die REST-Endpunkte react_to_event() und unreact_to_event() wird nur geprüft, ob jemand eingeloggt ist — nicht, welche Rechte er hat. Folge: Ein simpler Subscriber kann Aktionen auslösen, die eigentlich Admins vorbehalten sind, bis hin zur Kontoübernahme.

Fix: Update auf Simple History 5.26.1 oder neuer.

GEFAHR 3: GEO my WP — SQL ohne Login

Das Geo-Plugin GEO my WP (bis 4.5.5) erlaubt laut CVE-2026-9757 (CVSS 7.5) eine unauthentifizierte SQL-Injection. Über die Parameter swlatlng und nelatlng landet ungefilterter Input direkt in einer SQL-Abfrage — und umgeht dabei sogar WordPress‘ eingebaute Schutzmechanik. Angreifer können so Benutzerdaten und Passwort-Hashes aus der Datenbank ziehen. Fix: Update auf 4.5.6.

So sicherst du deine Seite — Schritt für Schritt

1. Geh in Plugins → Installierte Plugins und aktualisiere alle drei, falls vorhanden. 2. Prüfe deine Benutzerliste auf unbekannte Konten — besonders frische Contributor und Subscriber. 3. Wirf einen Blick in die Server-Logs nach verdächtigen Anfragen. 4. Schalte offene Registrierung ab, wenn du sie nicht brauchst.

FAZIT: Plugins sind das Einfallstor Nummer eins

Die meisten gehackten WordPress-Seiten fallen über veraltete Plugins. Diese drei Lücken zeigen wieder: Updates sind kein Luxus, sondern Pflicht. Fünf Minuten jetzt sparen dir womöglich Tage Aufräumarbeit.

Häufige Fragen

Welche Versionen sind betroffen?

Spectra bis einschließlich 2.19.25 (Fix: 2.19.26), Simple History bis 5.26.0 (Fix: 5.26.1) und GEO my WP bis 4.5.5 (Fix: 4.5.6). Wer eine ältere Version nutzt, ist verwundbar und sollte umgehend aktualisieren.

Wie merke ich, ob meine Seite verwundbar ist?

Prüfe unter Plugins, ob eines der drei installiert und nicht aktualisiert ist. Die Spectra-Lücke ist besonders kritisch, wenn auf deiner Seite offene Nutzer-Registrierung aktiv ist, da Angreifer sich dann selbst ein Contributor-Konto anlegen können.

Wie behebe ich das Problem konkret?

Aktualisiere die betroffenen Plugins über das WordPress-Dashboard auf die genannten Fix-Versionen. Danach Benutzerliste auf fremde Konten kontrollieren, Server- und Aktivitätslogs prüfen und offene Registrierung deaktivieren, falls nicht benötigt.

Welche der drei Lücken ist am gefährlichsten?

Spectra (CVE-2026-7465, CVSS 8.8). Sie erlaubt Remote-Code-Ausführung und damit die vollständige Übernahme des Servers — schon mit niedrigen Contributor-Rechten. Die anderen beiden sind ernst, bleiben aber auf SQL-Auslesen bzw. Kontoübernahme begrenzt.

Quellen: NVD CVE-2026-7465 · NVD CVE-2026-7459 · Threat-Modeling.com

PLUGIN-ALARM! Drei WordPress-Lücken reissen JETZT deine Seite auf — und eine schenkt Hackern den Server