Forscher des zur Defiant gehörenden Wordfence-Teams warnten vor einer Reihe kritischer Schwachstellen im beliebten Avada-Theme für die WordPress-Plattform. Sie ermöglichen es einem nicht authentifizierten Angreifer, durch einen Angriff ohne erforderliche Benutzerinteraktion beliebige PHP-Anweisungen auf dem Server auszuführen. Die sechs Schwachstellen sind gemeinsam unter der Kennung CVE-2026-18431 registriert und erhielten einen Schweregrad von 9,8 von 10.
ThemeFusion, der Entwickler des Avada-Themes und des Fusion Builder-Plugins, veröffentlichte die Fehlerbehebungen für Avada 7.16.1 und Fusion Builder 3.16.1 am 25. August 2026. Die Schwachstelle betrifft Avada-Versionen bis einschließlich 7.16 sowie Fusion Builder-Versionen bis einschließlich 3.16. Website-Betreiber müssen beide Komponenten aktualisieren, da das Plugin für den Betrieb des Themes erforderlich ist und zusammen mit ihm installiert wird, wie Wordfence gegenüber BleepingComputer erklärte.
Eine Kette aus sechs Schritten statt einer einzelnen Schwachstelle
Der Exploit beruht nicht auf einem einzigen unabhängigen Problem, sondern verbindet sechs Arten von Schwachstellen in einer bestimmten Reihenfolge. Die Kette beginnt mit der Offenlegung von Eingaben, die der Angreifer über eine öffentliche Anfrage kontrolliert, gefolgt von der Weiterleitung dieser Eingaben an eine Funktion, die anonymen Benutzern nicht zur Verfügung steht, sowie dem Aufruf einer Komponente mit Berechtigungen außerhalb ihres vorgesehenen Kontexts.
Anschließend werden die Anfragedaten verwendet, um den Zustand eines vertrauenswürdigen Objekts zu beeinflussen. Danach erfolgt der Zugriff auf einen Verwaltungsprozess, der nicht ausreichend geschützt ist, und schließlich werden die Beschränkungen des Dateiverarbeitungsmechanismus umgangen, um festzulegen, was geschrieben werden kann und an welchem Ort. Diese Abfolge verwandelt die verstreuten Schwachstellen in die Möglichkeit, PHP-Code aus der Ferne auszuführen.
Was ändert sich praktisch für Website-Betreiber?
Wenn der Angriff erfolgreich ist, kann der Angreifer möglicherweise die vollständige Kontrolle über die Website und den zugehörigen Server im Rahmen der verfügbaren Berechtigungen übernehmen. Zu den möglichen Folgen gehören das Einschleusen von Schadsoftware, der Zugriff auf Datenbanken, die Weiterleitung von Besuchern auf schädliche Websites oder das Anlegen nicht autorisierter Administratorkonten.
Die Bedeutung der Schwachstelle wird durch die große Verbreitung von Avada unterstrichen, dessen Verkäufe eine Million Exemplare überschritten haben. Laut Wordfence bedeutet das Vorhandensein des Themes praktisch auch das Vorhandensein des für seinen Betrieb erforderlichen Fusion Builder. Daher schränken die technischen Voraussetzungen den Kreis der betroffenen Websites nicht so stark ein, wie zunächst angenommen wurde: Jede Website, die Avada verwendet, ist gefährdet, wenn sie bei den betroffenen Versionen bleibt.
Warum ist diese Nachricht wichtig?
Die Gefahr ergibt sich aus dem Zusammentreffen von drei Faktoren: einer kritischen Sicherheitsbewertung, dem fehlenden Erfordernis einer Authentifizierung oder Interaktion des Opfers und der weiten Verbreitung der Komponente auf WordPress-Websites. Außerdem macht die Art der Kette die gemeinsame Aktualisierung von Theme und Plugin zu einer Priorität, anstatt sich auf die Prüfung nur einer der beiden Komponenten zu beschränken.
Wordfence entdeckte die Schwachstelle am 30. Juli 2026 mithilfe eines internen, durch agentenbasierte künstliche Intelligenz gesteuerten Frameworks namens Argus. Das Framework konnte sie reproduzieren und innerhalb von etwa zwei Stunden einen Proof-of-Concept-Code entwickeln. Die Forscher teilten die vollständigen Details am 5. August mit ThemeFusion, und das Unternehmen bestätigte den Bericht am 10. August. Wordfence veröffentlichte die vollständigen technischen Details nicht, um Website-Administratoren Zeit für die Installation der Aktualisierungen zu geben. Daher macht die Quelle keine Angaben dazu, ob vor der Verfügbarkeit der Fehlerbehebungen aktive Angriffe stattgefunden haben.