Eine neue Sicherheitswarnung sorgt für Aufregung in der WordPress-Welt: Laut der Sicherheitsfirma Defiant ist eine kritische Forminator Forms Lücke dafür verantwortlich, dass tausende Webseiten potenziell einem Angriff mit Remote Code Execution (RCE) ausgesetzt sein können. Betroffen sind insbesondere Installationen, die noch nicht auf die gepatchte Version aktualisiert wurden.
In dem Zusammenhang wird die Schwachstelle unter CVE-2026-15748 geführt und erreicht eine sehr hohe Bewertung von 9,8 (CVSS). Was das konkret bedeutet und wie Sie Ihr Risiko reduzieren, erfahren Sie im Folgenden.
Was ist passiert: Forminator Forms Lücke mit Risiko für RCE
Defiant beschreibt die Schwachstelle als eine Art beliebige Datei-Upload-Problematik. Der Mechanismus führt dazu, dass unter bestimmten Bedingungen eine Dateiupload-Funktion so missbraucht werden kann, dass am Ende ausführbarer Code hochgeladen wird.
Die kritische Komponente ist dabei die Funktion handle_file_upload des Forminator-Plugins. Wenn die Dateityp-Prüfung nicht ausreichend greift, kann ein Angreifer eine Datei einreichen, die nicht nur gespeichert wird, sondern anschließend zur Ausführung genutzt werden kann.
Warum der Angriff überhaupt möglich ist
Entscheidend ist, dass mehrere Schwachstellen zusammenwirken. Laut Defiant reicht es nicht nur, dass die Dateiendungen irgendwie “falsch” geprüft werden. Stattdessen arbeiten verschiedene Details gegeneinander, sodass sich die Schutzmechanismen umgehen lassen.
Im Kern nennt Defiant zwei Bausteine:
- Unzureichende Validierung des Dateityps in handle_file_upload. Die blockierende Liste für gefährliche Erweiterungen arbeitet dabei mit exaktem Key-Matching.
- Angreifer können die Upload-Parameter beeinflussen, indem sie Formularwerte so manipulieren, dass die Konfiguration, die an die Upload-Funktion übergeben wird, entsprechend verändert wird.
Besonders relevant ist außerdem, dass die Prüfung der Dateitypen durch Varianten von MIME-Type-Schlüsseln umgangen werden kann. Defiant nennt als Beispiel den Einsatz alternativer “Pipe”-Darstellungen, wodurch das exakte Matching nicht zuverlässig greift.
Wie sich das in der Praxis auswirken kann
Bei Standardkonfigurationen landet das Hochgeladene offenbar in einem Bereich, der so geschützt ist, dass eine Ausführung von PHP verhindert wird. Allerdings gilt das nicht automatisch für jede Umgebung.
Wenn ein Custom File Upload Storage root eingerichtet wurde, greift dieser zusätzliche Schutz unter Umständen nicht. In solchen Fällen kann der hochgeladene PHP-Code beim direkten Aufruf der Datei ausgeführt werden.
Defiant ordnet das wie bei allen beliebigen Datei-Upload-Szenarien ein: In der Konsequenz kann ein Angreifer bis hin zur vollständigen Übernahme der Website vorstoßen, beispielsweise durch das Installieren von Webshells oder anderen Techniken.
Welche Versionen sind betroffen – und wann wurde gepatcht?
Die Schwachstelle betrifft alle Versionen von Forminator Forms bis einschließlich 1.56.1. Ein Patch wurde mit der Version 1.56.2 veröffentlicht, die am 31. Juli freigegeben wurde.
Wenn Sie das Plugin im Einsatz haben, ist das Update auf 1.56.2 damit die wichtigste Maßnahme, um das Risiko durch die Forminator Forms Lücke zu reduzieren.
Wie groß ist das Risiko: mehr als 300.000 potenziell betroffene Seiten
Mit mehr als 600.000 Installationen ist das Plugin weit verbreitet. Auf Basis von WordPress-Daten geht Defiant davon aus, dass etwa die Hälfte noch eine verwundbare Version betreibt.
Rechnerisch bedeutet das: über 300.000 WordPress-Webseiten könnten potenziell für Angriffe anfällig sein.
Zum Zeitpunkt der Meldung gibt es allerdings keine Hinweise auf bereits erfolgte Ausnutzung in freier Wildbahn. Dennoch ist die Lage klar: Je länger ungesicherte Instanzen offen bleiben, desto schneller kann sich ein Angriff etablieren.
Was sollten Administratoren jetzt tun?
Wenn Sie Forminator Forms nutzen, sollten Sie folgende Schritte priorisieren:
- Plugin aktualisieren: Stellen Sie sicher, dass Forminator Forms auf 1.56.2 oder neuer läuft.
- Upload-Storage prüfen: Kontrollieren Sie, ob ein Custom File Upload Storage root konfiguriert ist. Bei solchen Abweichungen kann der Schutz anders wirken als in der Standardumgebung.
- Formulareffekte überprüfen: Prüfen Sie insbesondere Formulare, die Upload-Funktionen enthalten, und ob daran Formularfelder beteiligt sind, die Parameter beeinflussen könnten (z. B. Auswahlfelder, die Werte in Logik oder Upload-Konfiguration übertragen).
Auch wenn bisher keine aktiven Kampagnen gemeldet wurden, zählt bei kritischen Schwachstellen vor allem Geschwindigkeit. Updates reduzieren die Angriffsfläche sofort.
Einordnung: Was die Meldung sonst noch zeigt
Die Warnung unterstreicht einen wiederkehrenden Trend in der Web- und Plugin-Sicherheit: Besonders kritisch sind nicht nur klassische “vergessene” Checks, sondern Kombinationen aus mehreren Schwachstellen. Sobald eine Anwendung Upload-Mechanismen akzeptiert und dabei Validierung oder Konfiguration nicht robust genug behandelt, entsteht ein gefährlicher Hebel.
Die Forminator Forms Lücke ist damit ein Beispiel dafür, wie eine unvollständige Dateityp-Prüfung, gepaart mit manipulierten Eingaben, aus einem scheinbar normalen Feature ein ernstes Risiko machen kann.
Fazit
Die Forminator Forms Lücke (CVE-2026-15748) kann laut Defiant zu Remote Code Execution führen, indem Angreifer über die Upload-Logik ausführbare Dateien einschleusen und – abhängig von der Umgebung – deren Ausführung ermöglichen. Betroffen sind Versionen bis 1.56.1, gepatcht wurde mit 1.56.2 (31. Juli).
Da potenziell über 300.000 WordPress-Seiten riskieren, ungeschützt zu bleiben, sollten Administratoren das Update zeitnah umsetzen und prüfen, ob abweichende Upload-Speicherorte aktiv sind.
