Ausgerechnet die Kommentarfunktion wird zur Waffe: Im WordPress-Plugin The Events Calendar stecken zwei kritische Lücken, die einem Angreifer ohne jede Anmeldung die volle Kontrolle über den Server geben können. Betroffen sind laut Sicherheitsforschern über 600.000 aktive Installationen.
WIE DER ANGRIFF FUNKTIONIERT
Die beiden Lücken CVE-2026-78006 und CVE-2026-78159 (je CVSS 9,8) stecken in der Widget-Verarbeitung des Plugins. Kern des Problems ist eine Deserialisierung nicht vertrauenswürdiger Daten: Die Funktion, die eigentlich prüfen soll, ob übergebene Objektdaten sicher sind, lässt sich mit einer gefälschten Prüfsumme austricksen. Der Angriff läuft über einen Umweg, den kaum jemand auf dem Schirm hat: Ein Besucher hinterlässt einen präparierten Kommentar auf einer Event-Seite. Das Plugin verarbeitet den gepufferten Kommentar-Inhalt über eine Block-Funktion — und genau dabei wird der schädliche Code ausgelöst.
KEIN LOGIN NÖTIG — NICHT EINMAL EIN FREIGEGEBENER KOMMENTAR
Besonders unangenehm: Der Angriff braucht keinen freigeschalteten Kommentar. WordPress erlaubt es Kommentar-Autoren, ihren eigenen, noch nicht moderierten Beitrag über einen Vorschau-Link einzusehen — und genau dieser Mechanismus reicht aus, damit die Lücke greift. Voraussetzung ist lediglich, dass Kommentare auf Event-Seiten aktiviert sind und die Einstellung „Kommentare auf Event-Seiten anzeigen“ eingeschaltet ist. Ist das der Fall, kann ein Angreifer im schlimmsten Fall das Administrator-Passwort zurücksetzen, Schadsoftware platzieren oder den kompletten Server übernehmen.
ENTDECKT VON EINER KI, GEFLICKT INNERHALB WENIGER TAGE
Gefunden wurden beide Angriffsketten am 21. und 22. August vom automatisierten Sicherheits-Tool Wordfence Argus. Der Hersteller StellarWP reagierte zügig: Die Version 6.17.4.1, veröffentlicht am 10. September, schließt beide Lücken vollständig. Wer die kostenlose Version der Firewall von Wordfence nutzt, bekommt die schützende Regel allerdings erst seit dem 21. September — Premium-Kunden waren wie üblich früher dran.
SO PRÜFST DU DEINE SEITE
- Version prüfen: Im WordPress-Backend unter Plugins nachsehen, ob The Events Calendar installiert ist und welche Version läuft.
- Sofort aktualisieren: Alles unter 6.17.4.1 ist verwundbar — das Update einspielen.
- Übergangsweise absichern: Falls ein Update gerade nicht möglich ist, Kommentare auf Event-Seiten in den Plugin-Einstellungen deaktivieren.
- Nachsehen: Unerwartete Admin-Konten, veränderte Passwörter oder unbekannte Dateien im Upload-Verzeichnis sind Warnzeichen für einen bereits erfolgten Angriff.
FAZIT: Der Kommentar als Einfallstor
Der Fall zeigt, wie kreativ Angriffswege inzwischen sind: Nicht das Adminformular, sondern eine harmlos wirkende Kommentarfunktion wird zur Einfallstür. Wer ein WordPress-Blog mit Terminkalender betreibt — gerade Vereine, lokale Redaktionen oder Veranstalter nutzen The Events Calendar gerne —, sollte die Version jetzt prüfen, nicht erst beim nächsten Routine-Update.