Aktuell sorgt eine Elementor Pro Sicherheitslücke für Aufsehen: Sicherheitsforscher berichten, dass Angreifer ohne Anmeldung schädliche Dateien hochladen und anschließend Code ausführen könnten. Konkret geht es um eine kritische Schwachstelle in der Forms-Komponente von Elementor Pro, die als CVE-2026-32475 geführt wird und einen CVSS-Score von 9,0 erreicht.
Der Kern des Problems: Die Prüfung des Dateityps und der spätere Umgang mit der Datei laufen nicht konsistent ab. Dadurch kann aus einem eigentlich eingeschränkten Datei-Upload-Feld ein Werkzeug werden, das zur Remote Code Execution führt. In diesem Artikel ordnen wir die Details ein und zeigen, welche Schritte Administratoren jetzt umsetzen sollten.
Was ist die Elementor Pro Sicherheitslücke (CVE-2026-32475)?
Die gemeldete Schwachstelle betrifft Elementor Pro in den Versionen bis einschließlich 4.2.1. Nutzerinnen und Nutzer, die Elementor Pro aktuell nicht gepatcht haben, sollten das Thema daher priorisieren.
Laut den Informationen aus der Branche befindet sich die Schwachstelle im Forms-Modul – genauer im Datei-Upload-Feld. Dort wird die Dateierweiterung geprüft, aber die Verarbeitung erfolgt offenbar in zwei getrennten Abläufen. Diese Aufteilung führt dazu, dass die Blockierung bestimmter Dateitypen unter bestimmten Bedingungen umgangen werden kann.
Wie funktioniert der Angriff laut den Forschern?
Der Angriff setzt darauf, dass ein nicht authentifizierter Akteur die Upload-Logik ausnutzt. Im beschriebenen Szenario kann ein Angreifer durch das Senden zweier Dateiteile für dasselbe Upload-Feld die Extension-Blockliste umgehen. Danach wird eine Datei in ein öffentlich zugängliches Verzeichnis geschrieben.
Die Folge: Ein Angreifer könnte eine Datei hochladen, die als PHP interpretiert wird. Wird diese anschließend im entsprechenden Kontext ausgeführt, entsteht eine Remote Code Execution-Situation – also die Möglichkeit, Code auf dem betroffenen System auszuführen.
Die Ablage geschieht dabei in einem spezifischen Pfad innerhalb von WordPress. Genannt wird:
- wp-content/uploads/elementor/forms/
- Dateiname endet auf .php, wobei der Basisname aus dem Ergebnis von PHPs uniqid() stammt
Das bedeutet: Selbst wenn der Name nicht sofort Hinweise auf die Absicht liefert, wird die Datei in einem Bereich abgelegt, in dem PHP grundsätzlich ausgeführt werden kann, sofern die Umgebung dies zulässt.
Welche Voraussetzung braucht ein Angreifer auf der Zielseite?
Wichtig ist: Für die erfolgreiche Ausnutzung reicht nicht „irgendein Elementor-Setup“. Laut Patchstack liegt die zentrale Voraussetzung darin, dass die Zielseite mindestens eine veröffentlichte Elementor-Seite besitzt, auf der ein Formular-Widget mit einem Datei-Upload-Feld eingebunden ist.
Zusätzlich gilt als relevante Konfiguration, dass der Schalter „Required“ im Feld nicht aktiviert ist. Dieser Zustand ist offenbar standardmäßig. Damit wird klar: Es braucht keine seltene Sonderkonfiguration, um potenziell angreifbar zu sein – viele Formularvarianten nutzen genau diese Art von „Anhang“-Funktion.
Zu den typischen Beispielen zählen:
- Job-Application-Formulare mit Foto- oder Dokumentenanhang
- Formulare, bei denen Nutzende „Foto/ID/Beleg“ hochladen
- Support-Tickets mit Dateianhängen
Warum ist die Prüfung der Dateierweiterung problematisch?
Die Meldung beschreibt einen konstruktiven Fehler: Die Extension-Prüfung und der Schritt, in dem die Datei letztlich verschoben bzw. verarbeitet wird, passieren „in zwei separaten Schleifen“ – mit unterschiedlicher Behandlung von leeren Datei-Einträgen.
So entsteht eine Lücke zwischen dem, was die Anwendung als zulässige Dateiendung erwartet, und dem, was am Ende tatsächlich als Datei im Zielverzeichnis landet. Dadurch kann die Restriktion faktisch aus dem Upload-Workflow herausgelöst werden.
Wichtig für Administratoren
Der praktische Effekt ist entscheidend: Ein Feld, das „eigentlich“ nur bestimmte Dateitypen erlauben soll, kann unter den beschriebenen Bedingungen als unauthentifizierte Upload- und Ausführungsbasis missbraucht werden. Das macht die Schwachstelle besonders kritisch.
Betroffene Versionen und das Sicherheitsupdate
Die Elementor Pro Sicherheitslücke betrifft alle Versionen von Elementor Pro vor und einschließlich 4.2.1. Eine Korrektur wurde mit Version 4.2.2 bereitgestellt.
Der Zeitplan laut den Informationen: Nach der Meldung an Elementor Pro am 16. Juli 2026 veröffentlichte der Hersteller am 19. August 2026 ein Patch.
Wenn Sie Elementor Pro einsetzen, ist das Update damit einer der wichtigsten Sofortschritte. Prüfen Sie außerdem, ob automatisch verwaltete Deployments oder Staging-Umgebungen die neue Version noch nicht übernommen haben.
Steht das in Zusammenhang mit anderen WordPress-Sicherheitsupdates?
Die Veröffentlichung fällt in eine Phase, in der auch WordPress selbst Sicherheitskorrekturen nachgelegt hat. Kurz zuvor erschien Version 7.0.4, die eine weitere Schwachstelle adressiert (CVE-2026-65640, CVSS: 8,8). Diese soll Remote Code Execution über das Hochladen von Postscript-Dateien ermöglichen, wenn die Berechtigungen hoch genug sind.
Für diese WordPress-Schwachstelle wurden zusätzliche Voraussetzungen genannt: Imagick und Ghostscript auf dem Server sowie ein Angreifer mit der erforderlichen Upload-Fähigkeit. Das ist technisch nicht identisch mit der Elementor-Lücke, zeigt aber: In der aktuellen Lage ist das Thema Dateiupload und anschließende Verarbeitung besonders häufig ein Angriffsziel.
Welche konkreten Schritte sollten Sie jetzt umsetzen?
Um das Risiko zu senken, empfehlen Experten aus dem Umfeld von Patchmanagement und Incident Response vor allem Maßnahmen zur Aktualität und Sichtbarkeit. Setzen Sie die Punkte in dieser Reihenfolge um:
- Aktualisieren Sie Elementor Pro auf 4.2.2 oder höher.
- Halten Sie WordPress und alle Plugins aktuell, insbesondere wenn Sie weitere Formular- oder Upload-Erweiterungen nutzen.
- Scannen Sie die Website auf unautorisierte Änderungen, zum Beispiel durch unerwartete Weiterleitungen oder Pop-ups.
- Prüfen Sie Konten und Rollen: Achten Sie auf unbekannte Benutzer oder erhöhte Berechtigungen.
- Überprüfen Sie Plugins auf unbekannte oder kürzlich hinzugefügte Erweiterungen.
Gerade bei Seiten mit Registrierungen oder mehreren Redaktionsrollen sollten Sie außerdem Ihre Prozesse prüfen, weil kompromittierte Komponenten und Upload-Funktionen gemeinsam ein starkes Einfallstor ergeben.
Ein weiteres Warnsignal: Botnet-artige Missbrauchsversuche
Zusätzlich zu den technischen Details wird auf eine größere Missbrauchsoperation hingewiesen, die unter dem Namen StopAndProtect bekannt ist. Laut den Informationen handelt es sich dabei um eine Aktion, bei der tausende kompromittierte WordPress-Websites als Infrastruktur genutzt werden.
Dabei geht es um die Verteilung von Schadsoftware, um Command-and-Control-Kommunikation sowie um das Speichern gestohlener Daten. Das unterstreicht: Auch wenn einzelne Lücken „nur“ wie ein Upload-Problem wirken, kann ein erfolgreicher Angriff schnell in eine weitergehende Kampagne münden.
Fazit: Elementor Pro Sicherheitslücke schnell schließen
Die Elementor Pro Sicherheitslücke (CVE-2026-32475) ist aus mehreren Gründen besonders relevant: Sie kann laut Beschreibung zu unauthentifizierter Remote Code Execution führen, betrifft verbreitete Formular-Setups mit Datei-Upload und benötigt auf der Seite vor allem eine konkrete Komponente (Form widget mit Upload-Feld und einem nicht aktivierten „Required“-Zustand).
Die gute Nachricht: Mit Elementor Pro 4.2.2 liegt ein Patch vor. Wer jetzt aktualisiert, Upload-Funktionen in seinen Formularen überprüft und die Site zusätzlich auf Manipulationen scannt, reduziert das Risiko spürbar – und verhindert, dass kleine Konfigurationsdetails zu einem großen Sicherheitsproblem werden.
Quelle: https://thehackernews.com/2026/08/elementor-pro-flaw-could-let.html
