Der Nachschub an gemeldeten WordPress-Schwachstellen reißt nicht ab: Diese Woche bündeln wir zehn aktuelle CVEs aus Plugins und einem Theme, von kritischer Remote Code Execution bis zu Zahlungsmanipulation. Alle Angaben wurden gegen die Primärquelle in der National Vulnerability Database (NVD) geprüft. Wo eine Fixed-Version öffentlich dokumentiert ist, nennen wir sie, wo nicht, sagen wir das ebenso deutlich.
Kritische Lücken: Remote Code Execution und Object Injection
Fünf Funde dieser Woche erlauben im schlimmsten Fall die vollständige Übernahme des Servers.
CVE-2026-57811 betrifft das Plugin „Realtyna Organic IDX“ in Version 5.2.0 und älter, mit dem höchstmöglichen CVSS-Wert von 10.0 (kritisch, CVSS 3.1). Die Lücke (CWE-94, Code Injection) erlaubt Remote Code Inclusion, unauthentifiziert und ohne jede Nutzerinteraktion. Ein Fix liegt vor: Version 5.3.0.
CVE-2026-57724 im Theme-Baukasten-Plugin „Kirki“ (bis Version 6.0.12) und CVE-2026-57744 im Erweiterungspaket „RT-Theme 18 | Extensions“ (bis Version 2.5) erreichen beide CVSS 9.8 (kritisch). In beiden Fällen handelt es sich um CWE-502, Deserialization of Untrusted Data, umgangssprachlich PHP Object Injection: Die Software wandelt nicht vertrauenswürdige, eingeschleuste Daten unkontrolliert in PHP-Objekte um, was zur Ausführung von Schadcode führen kann. Für Kirki liegt eine Fixed-Version vor (6.0.13), für RT-Theme 18 Extensions ist aktuell keine dokumentiert.
CVE-2026-13353 (WP Ultimate CSV Importer, bis Version 8.0.1, CVSS 8.8) und CVE-2026-14158 (Widget Logic Visual, bis Version 1.52, CVSS 8.8) folgen demselben Muster: Weil Capability-Prüfungen und Nonce-Verifikation fehlen, kann ein einfach angemeldeter Nutzer mit Subscriber-Rechten, also die niedrigste Rechtestufe, eigenen PHP-Code über eval() ausführen lassen. Für beide ist derzeit keine Fixed-Version öffentlich benannt, ein Changeset ohne Versionsnummer ist jeweils dokumentiert.
Was für die Geschäftsführung zählt: Bei allen fünf Lücken kann ein Angreifer im Erfolgsfall die vollständige Kontrolle über Ihren Webserver erlangen, also Daten stehlen, Schadsoftware nachladen oder die gesamte Webseite übernehmen. Bei Realtyna Organic IDX braucht es dafür nicht einmal einen Account. Bei den übrigen vier reicht ein einziges kompromittiertes oder frei registrierbares Kundenkonto mit der niedrigsten Rechtestufe.
Was für die Technik zählt: Prüfen Sie sofort, ob eines der fünf Plugins beziehungsweise Kirki im Einsatz ist. Für Realtyna Organic IDX auf 5.3.0 und für Kirki auf 6.0.13 aktualisieren, das schließt die Lücke vollständig. Für die drei übrigen Fälle (RT-Theme 18 Extensions, WP Ultimate CSV Importer, Widget Logic Visual) gibt es aktuell keine öffentlich benannte Patch-Version, fragen Sie direkt beim jeweiligen Hersteller nach. Bis dahin: Subscriber-Registrierung deaktivieren oder streng moderieren, wo diese Plugins aktiv sind.
Authentifizierung und Kontozugang
Drei weitere Funde betreffen nicht die Server-Übernahme, sondern den Zugang zu Konten.
CVE-2026-12988 im Zwei-Faktor-Plugin „WP 2FA“ (Versionen vor 3.1.1.2) prüft während der Einrichtung nicht, ob die eingetragene E-Mail-Adresse tatsächlich dem Konto gehört. Ein Angreifer mit den regulären Zugangsdaten eines Opfers kann den Verifikationscode auf eine eigene Adresse umleiten und so die Zwei-Faktor-Absicherung faktisch aushebeln, Account Takeover trotz aktivierter 2FA. Ein Fix liegt vor: Version 3.1.1.2. Ein NVD-eigener CVSS-Wert steht noch aus.
CVE-2026-14495 im Plugin „DoLogin Security“ (bis Version 4.3, CVSS 8.8) nutzt einen schwachen Zufallsgenerator mit nur rund 20 Bit Entropie zur Erzeugung passwortloser Login-Links. Diese geringe Entropie lässt sich in überschaubarer Zeit durchprobieren, ein unauthentifizierter Angreifer kann sich so als beliebiger Nutzer, auch als Administrator, ohne Passwort anmelden. Eine Fixed-Version ist aktuell nicht dokumentiert.
CVE-2026-11855 im Mitgliedschafts-Plugin „Simple Membership“ (Versionen vor 4.7.5, CVSS 8.8) validiert eingehende Stripe-Webhooks nicht, wenn kein Signaturgeheimnis konfiguriert ist. Dadurch kann ein unauthentifizierter Angreifer manipulierte Skripte in Admin-Benachrichtigungen einschleusen, die dann im Kontext eines angemeldeten Administrators ausgeführt werden. Ein Fix liegt vor: Version 4.7.5.
Was für die Geschäftsführung zählt: Diese drei Lücken zielen direkt auf Konten, teils sogar auf Administratorkonten, unabhängig davon, wie stark Ihre Zugangsdaten sonst geschützt sind. WP 2FA und DoLogin Security betreffen ausgerechnet Sicherheits-Plugins, ein zusätzlicher Grund, hier besonders zügig zu handeln.
Was für die Technik zählt: WP 2FA auf 3.1.1.2 und Simple Membership auf 4.7.5 aktualisieren, beide Fixes stehen bereit. Bei DoLogin Security bis zum Herstellerfix die Funktion für passwortlose Login-Links deaktivieren, falls konfigurierbar, und bei Simple Membership umgehend ein Stripe-Webhook-Signaturgeheimnis hinterlegen, falls das noch nicht geschehen ist, das schließt den Angriffsweg unabhängig vom Plugin-Update.
Zwei weitere Funde: Datei-Schreibzugriff und Zahlungsmanipulation
CVE-2026-6101 im Plugin „AMP for WP“ (bis Version 1.1.12, CVSS 7.5) erlaubt authentifizierten Angreifern mit Autor-Rechten über eine unsichere ZIP-Extraktion beim Hochladen lokaler Schriftarten, beliebige Dateien in erreichbare Verzeichnisse zu schreiben, im schlimmsten Fall mit potenzieller Ausführung von PHP-Code. Ein Patch ist als Changeset dokumentiert, eine konkrete Fixed-Versionsnummer liegt aktuell nicht vor.
CVE-2026-15288 im Formular-Baukasten „SureForms“ (bis Version 2.2.1, CVSS 7.5) validiert bei Stripe-Zahlungsformularen den vom Nutzer übermittelten Zahlungsbetrag nicht gegen den im Formular hinterlegten Preis. Unauthentifizierte Angreifer können so Waren oder Leistungen zu einem selbst gewählten, beliebig niedrigen Betrag bezahlen. Ein Fix liegt vor: Version 2.2.2.
Was für die Geschäftsführung zählt: SureForms betrifft direkt Ihre Einnahmen, wer ein Zahlungsformular mit diesem Plugin einsetzt, riskiert Bestellungen zum Wunschpreis des Angreifers. AMP for WP setzt zumindest ein Autor-Konto voraus, bleibt aber gefährlich für Redaktionsteams mit mehreren Beitragenden.
Was für die Technik zählt: SureForms umgehend auf 2.2.2 aktualisieren, das schließt die Preismanipulation vollständig. Bei AMP for WP bis zum benannten Fix Autor-Rechte eng vergeben und den Upload lokaler Schriftarten, falls nicht benötigt, deaktivieren.
Fazit und Prioritätenliste dieser Woche
- Realtyna Organic IDX (CVE-2026-57811, CVSS 10.0): höchste Priorität, sofort auf 5.3.0 aktualisieren.
- Kirki (CVE-2026-57724, CVSS 9.8) und RT-Theme 18 Extensions (CVE-2026-57744, CVSS 9.8): Kirki auf 6.0.13 patchen, für RT-Theme 18 Extensions beim Hersteller nachfragen.
- WP Ultimate CSV Importer und Widget Logic Visual (je CVSS 8.8): Subscriber-Registrierung einschränken, bis ein Fix vorliegt.
- WP 2FA, DoLogin Security, Simple Membership: Zugangs-Lücken, WP 2FA und Simple Membership sofort patchen, DoLogin Security bis zum Fix eng überwachen.
- SureForms: bei aktivem Zahlungsformular sofort auf 2.2.2 aktualisieren.
- AMP for WP: Autor-Rechte prüfen, Patch abwarten.
Zehn Lücken in einer Woche, mehrere davon mit kritischem CVSS-Wert, zeigen erneut: Ein WordPress-Update-Plan allein reicht nicht, wenn Fixed-Versionen wie bei drei der zehn Fälle hier noch fehlen. Ein regelmäßiger, unabhängiger Sicherheits-Check der eigenen Installation deckt genau solche offenen Flanken auf, bevor sie zum Problem werden, etwa mit unserem Auditor, der Consent- und Datenfluss-Risiken samt bekannter Schwachstellen in eingesetzter Software systematisch prüft.
Quellen (Abrufdatum: 14.07.2026)
- Realtyna Organic IDX: nvd.nist.gov/vuln/detail/CVE-2026-57811
- Kirki: nvd.nist.gov/vuln/detail/CVE-2026-57724
- RT-Theme 18 Extensions: nvd.nist.gov/vuln/detail/CVE-2026-57744
- WP Ultimate CSV Importer: nvd.nist.gov/vuln/detail/CVE-2026-13353
- Widget Logic Visual: nvd.nist.gov/vuln/detail/CVE-2026-14158
- WP 2FA: nvd.nist.gov/vuln/detail/CVE-2026-12988
- DoLogin Security: nvd.nist.gov/vuln/detail/CVE-2026-14495
- Simple Membership: nvd.nist.gov/vuln/detail/CVE-2026-11855
- AMP for WP: nvd.nist.gov/vuln/detail/CVE-2026-6101
- SureForms: nvd.nist.gov/vuln/detail/CVE-2026-15288