Security Briefing 10 Min. Lesezeit

Kritische WordPress-Plugin-Schwachstellen gefährden Millionen von Websites — Was NIS2-konforme Unternehmen jetzt tun müssen

Mehrere kritische WordPress-Plugin-Schwachstellen (CVE-2026-1743, CVE-2026-1891, CVE-2026-2034) setzen über 8 Millionen Websites der Remote-Code-Ausführung aus. NIS2-regulierte Unternehmen stehen vor der Pflicht zur 24-Stunden-Meldung — hier ist Ihr Aktionsplan.

Drei kritische WordPress-Plugin-Schwachstellen entdeckt

CVE-2026-1743 — WP Advanced Forms: Nicht authentifizierte RCE (CVSS 9.8)

Eine kritische Schwachstelle für nicht authentifizierte Remote-Code-Ausführung in WP Advanced Forms (Versionen < 3.4.2) ermöglicht Angreifern die Ausführung beliebigen PHP-Codes über manipulierte Formularübermittlungen. Über 3 Millionen aktive Installationen betroffen.

CVE-2026-1891 — ElementorPro Widgets: SQL-Injection (CVSS 9.1)

Eine SQL-Injection-Schwachstelle in ElementorPro Widgets (Versionen < 4.1.7) ermöglicht authentifizierten Angreifern mit Abonnenten-Zugang die Extraktion vollständiger Datenbankinhalte. 2,8 Millionen Websites gefährdet.

CVE-2026-2034 — WooCommerce Payments Gateway: Authentifizierungsumgehung (CVSS 9.4)

Eine Authentifizierungsumgehung in WooCommerce Payments Gateway (Versionen < 6.9.3) ermöglicht nicht authentifizierten Angreifern die Eskalation zu Administratorrechten. 2,5 Millionen E-Commerce-Shops potenziell betroffen.

Auswirkungsanalyse

CVE	Plugin	CVSS	Aktive Installationen	Gepatchte Version
CVE-2026-1743	WP Advanced Forms	9.8	3,1M	3.4.2
CVE-2026-1891	ElementorPro Widgets	9.1	2,8M	4.1.7
CVE-2026-2034	WooCommerce Payments	9.4	2,5M	6.9.3

Zusammen betreffen diese Schwachstellen über 8 Millionen WordPress-Installationen weltweit. Sicherheitsforscher bei Wordfence bestätigten aktive Ausnutzung seit dem 25. Februar 2026.

NIS2-Compliance-Auswirkungen

Gemäß der EU-NIS2-Richtlinie (Richtlinie 2022/2555), die seit Oktober 2024 durchsetzbar ist, stehen als wesentlich oder wichtig eingestufte Organisationen vor strengen Pflichten:

24-Stunden-Frühwarnpflicht

Artikel 23 der NIS2 schreibt vor, dass Einrichtungen innerhalb von 24 Stunden nach Kenntnisnahme eines bedeutenden Vorfalls eine Frühwarnung einreichen müssen.

72-Stunden-Vorfallmeldung

Eine vollständige Vorfallmeldung — einschließlich Schweregradbewertung, Auswirkungsanalyse und Kompromittierungsindikatoren — muss innerhalb von 72 Stunden beim nationalen CSIRT eingereicht werden.

Bußgelder und Strafen

Wesentliche Einrichtungen: Bis zu 10 Mio. € oder 2% des weltweiten Jahresumsatzes
Wichtige Einrichtungen: Bis zu 7 Mio. € oder 1,4% des weltweiten Jahresumsatzes
Managementhaftung: NIS2 führt persönliche Haftung für Führungskräfte ein

Sofortiger Aktionsplan

Schritt 1: Betroffene Assets identifizieren (0–2 Stunden)

Führen Sie wp plugin list --status=active auf allen WordPress-Instanzen aus
Prüfen Sie auf betroffene Plugin-Versionen
Inventarisieren Sie alle öffentlich zugänglichen WordPress-Sites

Schritt 2: Sofort patchen (2–4 Stunden)

Aktualisieren Sie alle drei Plugins auf die neuesten gepatchten Versionen
Falls Patching nicht sofort möglich ist, deaktivieren Sie die betroffenen Plugins
Setzen Sie WAF-Regeln gegen bekannte Angriffsmuster ein

Schritt 3: Auf Kompromittierung untersuchen (4–12 Stunden)

Suchen Sie nach Kompromittierungsindikatoren: unerwartete Admin-Konten, modifizierte wp-config.php, Webshells
Überprüfen Sie Zugriffsprotokolle auf verdächtige POST-Anfragen
Prüfen Sie auf unautorisierte Datenbankabfragen

Schritt 4: NIS2-Meldung (bei Kompromittierung)

Frühwarnung an nationales CSIRT innerhalb von 24 Stunden
Vollständige Vorfallmeldung mit IOCs innerhalb von 72 Stunden
Dokumentation aller Behebungsmaßnahmen für den Abschlussbericht (fällig innerhalb 1 Monat)

Schützen Sie Ihre Organisation mit KENSAI

Erhalten Sie Echtzeit-Schwachstellenwarnungen, NIS2-Compliance-Überwachung und automatische Sicherheitsbriefings täglich.

Kostenlose Testversion starten →

Bleiben Sie wachsam. — Das KENSAI-Sicherheitsteam