Sicherheitsberichte warnen vor einer kritischen Schwachstelle im Elementor-Pro-Plugin für WordPress-Websites, durch die Angreifer ausführbare Dateien hochladen und PHP-Code remote auf dem Server ausführen können. Die Schwachstelle trägt die Kennung CVE-2026-32475 und betrifft Elementor-Pro-Versionen vor 4.2.2.
Das Problem steht mit dem Modul „File Upload“ in Verbindung, da das Plugin zwei getrennte Schleifen zur Überprüfung und Verarbeitung von Dateien verwendet. Die beiden Schleifen behandeln jedoch einen Upload-Teil mit leerem Namen unterschiedlich. Laut einem Bericht des auf die Sicherheit des WordPress-Ökosystems spezialisierten Unternehmens Patchstack kann dieser Unterschied ausgenutzt werden, indem eine Multipart-Upload-Anfrage erstellt wird, die für die Prüfungslogik gültig erscheint, während die Verarbeitungslogik eine schädliche Datei in einem späteren Teil der Anfrage durchlässt.
Wie kann der Fehler ausgenutzt werden?
Das Szenario beginnt damit, dass auf der Website ein veröffentlichtes Formular mit einem Feld zum Hochladen von Dateien vorhanden ist und die Option für mehrere Uploads aktiviert wurde. Der Angreifer platziert zunächst einen Teil ohne Dateinamen und hängt danach eine schädliche PHP-Datei an. Bei der Überprüfung wird der Vorgang nach dem leeren Teil aufgrund des Fehlers UPLOAD_ERR_NO_FILE beendet, sodass die nachfolgende Nutzlast nicht geprüft wird. Die Verarbeitungsphase überspringt den leeren Teil dagegen und verarbeitet die schädliche Datei weiter. Anschließend verschiebt sie diese in das öffentliche Verzeichnis wp-content/uploads/elementor/forms/.
Danach kann der Angreifer versuchen, den Namen der erstellten Datei mithilfe der Funktion uniqid() zu bestimmen. Da diese Funktion von der Zeit abhängt und tatsächlich keinen zufälligen Wert erzeugt, kann der Name durch zeitbezogenes Raten ermittelt werden. In manchen Konfigurationen kann die automatische Antwort die Datei-URL direkt offenlegen. Wird die Datei über ihre URL angefordert, interpretiert der PHP-Server ihren Inhalt und führt die Befehle mit den Berechtigungen des Webservers aus.
Welche Websites sind gefährdet?
Elementor Pro verfügt über mehr als 10 Millionen aktive Installationen und ist die kostenpflichtige Version des Elementor-Tools zur Erstellung von Websites per Drag-and-drop. Die Version bietet Funktionen wie die Erstellung von Formularen, den Aufbau von Templates und Pop-ups, das Einfügen von Code und benutzerdefiniertem CSS sowie E-Commerce-Werkzeuge.
Der Gefährdungsbereich umfasst jedoch nicht alle Websites, die das Plugin verwenden. Elementor erklärte, dass ausschließlich Websites betroffen sind, die ein Formular von Elementor Pro mit einem Datei-Upload-Feld verwenden, wobei die Option zum Hochladen mehrerer Dateien aktiviert ist. Diese Option ist standardmäßig deaktiviert. Das Unternehmen erklärte, dass andere Websites von dieser Schwachstelle nicht betroffen sind, empfahl jedoch, das Plugin zu aktualisieren, um die Risiken von Sicherheits- oder Kompatibilitätsproblemen zu verringern.
Was sollten Administratoren tun?
Patchstack meldete die Schwachstelle am 16. Juli 2026 an das Elementor-Team, nachdem sie vom Forscher Tin Pham entdeckt worden war. Der Entwickler des Plugins erstellte am folgenden Tag eine Fehlerbehebung, die Patchstack am 3. August überprüfte, bevor sie am 19. August bereitgestellt wurde. Das Unternehmen hat bisher keine Fälle einer aktiven Ausnutzung der Schwachstelle in realen Angriffen festgestellt.
- Elementor Pro aktualisieren: Version 4.2.2 oder jede verfügbare neuere Version installieren.
- Öffentliches Verzeichnis überprüfen: wp-content/uploads/elementor/forms/ auf PHP-Dateien oder andere unbekannte Dateien prüfen.
- Verdächtige Dateien untersuchen: Das Update löscht keine Dateien, die während des Zeitraums der Gefährdung möglicherweise hochgeladen wurden. Daher müssen sie gemäß den Verfahren zur Reaktion auf Sicherheitsvorfälle überprüft und entfernt werden.
Die praktische Bedeutung der Schwachstelle liegt laut Patchstack darin, dass lediglich ein veröffentlichtes Elementor-Formular mit dem entsprechenden Feld und den passenden Einstellungen erforderlich ist. Daher reicht die Installation der Fehlerbehebung allein nicht aus, um die Sicherheit der Website zu überprüfen, wenn vor dem Update ein schädlicher Upload stattgefunden hat.