Forminator-Lücke CVE-2026-15748: PHP-Upload ohne Login

Du hast auf deiner WordPress-Seite ein Kontaktformular. Harmlos, oder? Bei einem der beliebtesten Formular-Plugins ist genau dieses Formular gerade das offene Scheunentor. Über 600.000 Seiten nutzen Forminator Forms — und in Versionen bis 1.56.1 steckt eine Lücke, die Angreifern ohne jede Anmeldung eine PHP-Datei auf deinen Server schiebt.

Die Lücke trägt die Nummer CVE-2026-15748 und den Schweregrad 9,8 von 10. Das ist so hoch, wie es praktisch wird.

SO EINFACH: Ein Upload-Feld, ein Auswahl-Feld — fertig

Der Fehler sitzt in der Funktion handle_file_upload. Sie soll prüfen, was für eine Datei da eigentlich hochgeladen wird — und tut das zu oberflächlich.

Forminator führt eine Sperrliste gefährlicher Dateitypen. Das Problem: Diese Liste wird über einen exakten Schlüsselvergleich abgeglichen. Wer eine leicht abweichende Endung samt passendem MIME-Ausdruck angibt, steht nicht auf der Liste — WordPress selbst behandelt die Datei am Ende trotzdem als PHP. Der Wächter guckt weg, der Server führt aus.

Wichtig für die Einordnung: Der Angriff funktioniert nur bei Formularen, die gleichzeitig ein Datei-Upload-Feld und ein Auswahl-Feld enthalten. Das ist die gute Nachricht. Die schlechte: Genau diese Kombination ist bei Bewerbungs-, Support- und Reklamationsformularen völlig üblich.

GEFAHR! Warum „unangemeldet“ hier alles ändert

Viele WordPress-Lücken setzen voraus, dass ein Angreifer schon irgendeinen Zugang hat — Abonnent, Autor, irgendwas. Diese hier nicht. Niemand muss sich einloggen.

Das bedeutet in der Praxis: Automatisierte Scanner können das Internet im großen Stil nach verwundbaren Seiten absuchen. Kein Mensch sitzt davor und wählt Ziele aus. Deine kleine Vereinsseite ist damit genauso interessant wie ein Shop mit 10.000 Bestellungen im Monat.

Landet die PHP-Datei erst einmal im Upload-Ordner und lässt sich aufrufen, hat der Angreifer eine Web-Shell — also eine Fernbedienung für deinen Webspace. Von dort aus geht alles: Admin-Konten anlegen, Datenbank auslesen, Spam versenden, Weiterleitungen einbauen.

In 5 MINUTEN geprüft: So gehst du vor

Der Hersteller hat den Fehler in Forminator Forms 1.56.2 behoben. Dein Weg dahin:

Version prüfen: WordPress-Backend → Plugins → Forminator. Steht dort 1.56.1 oder niedriger, bist du dran.
Aktualisieren: Update auf 1.56.2 oder neuer einspielen. Vorher wie immer eine Sicherung ziehen.
Upload-Ordner ansehen: Schau in /wp-content/uploads/ nach Dateien mit PHP-Endung. Dort gehören keine hin.
Benutzerliste durchgehen: Unter Benutzer nach Konten suchen, die du nicht angelegt hast.
Wenn Update nicht sofort geht: Betroffene Formulare vorübergehend offline nehmen oder das Upload-Feld entfernen.

EXTRA-TIPP: Dauerhaft PHP im Upload-Ordner sperren

Unabhängig von diesem einen Plugin lohnt sich eine Grundregel: Im Upload-Verzeichnis hat nie ausführbarer Code etwas zu suchen. Bei Apache erledigt das eine kleine .htaccess im Ordner uploads, bei nginx eine Regel in der Server-Konfiguration, die PHP-Dateien unterhalb von /uploads/ nicht an den Interpreter durchreicht.

Das kostet dich zehn Minuten und entschärft die halbe Familie dieser Upload-Lücken auf einen Schlag — auch die, die noch niemand entdeckt hat.

FAZIT: Kein Grund für Panik, aber für heute Abend

Nach der Veröffentlichung liefen laut Sicherheitsforschern noch hunderttausende Installationen auf einer verwundbaren Ausgabe. Der Patch existiert, er ist kostenlos, und das Update dauert einen Klick. Es gibt schlicht keinen guten Grund, das liegen zu lassen.

Häufige Fragen

Welche Forminator-Versionen sind betroffen?

Betroffen sind alle Ausgaben von Forminator Forms bis einschließlich Version 1.56.1. Der Hersteller hat den Fehler in 1.56.2 korrigiert. Wenn du automatische Plugin-Updates aktiviert hast, bist du womöglich längst versorgt — nachsehen solltest du trotzdem, denn automatische Updates scheitern häufiger, als man denkt.

Wie merke ich, ob meine Seite verwundbar ist?

Zwei Dinge müssen zusammenkommen: eine Forminator-Version bis 1.56.1 und mindestens ein veröffentlichtes Formular, das sowohl ein Datei-Upload-Feld als auch ein Auswahl-Feld enthält. Fehlt eine der beiden Zutaten, greift der beschriebene Angriffsweg nicht. Aktualisieren solltest du trotzdem.

Wie erkenne ich einen bereits erfolgten Angriff?

Sieh im Verzeichnis /wp-content/uploads/ nach Dateien mit der Endung .php — dort gehören keine hin. Prüfe außerdem die Benutzerliste auf unbekannte Administratoren und die Server-Logs auf auffällige POST-Anfragen an deine Formular-Endpunkte. Findest du etwas, ist eine saubere Wiederherstellung aus einem Backup der sicherste Weg.

Reicht eine Web Application Firewall als Schutz?

Eine WAF kann typische Angriffsmuster abfangen und verschafft dir Zeit, ersetzt das Update aber nicht. Angreifer variieren Endungen und MIME-Angaben, bis eine Regel nicht mehr greift. Behandle die Firewall als Notbremse für die Stunden bis zum Patch, nicht als Dauerlösung.

WEBSEITEN-ALARM! Ein Kontaktformular reicht — und Fremde laden PHP auf deine WordPress-Seite