WordPress-Plugin: SQL-Injection gefährdet 3 Millionen Websites
Veröffentlicht am: 03.09.2026 um 13:54 Uhr | Redaktion boerse-global.de
Eine kritische Sicherheitslücke in dem populären WordPress-Plugin All-in-One WP Migration and Backup bedroht derzeit eine große Anzahl von Internetpräsenzen.
Wie aus Berichten vom 3. September 2026 hervorgeht, ermöglicht die Schwachstelle sogenannte SQL-Injections, was für Betreiber betroffener Seiten ein erhebliches Sicherheitsrisiko darstellt. Da das Plugin auf mehr als fünf Millionen Websites installiert ist, wird das Ausmaß der potenziellen Bedrohung als sehr hoch eingestuft.
Hohe Bedrohungslage durch SQL-Injection
Die als CVE-2026-19949 identifizierte Sicherheitslücke wurde mit einem CVSS-Wert von 8,8 bewertet. Dieser Score signalisiert eine hohe Kritikalität der Schwachstelle. Durch eine SQL-Injection können Angreifer bösartige Befehle direkt in die Datenbankabfragen einer Website einschleusen.
Im Kontext eines Plugins, das für Migrationen und Backups konzipiert ist und daher weitreichenden Zugriff auf die Datenbankstrukturen benötigt, ist dieses Risiko besonders gravierend.
Unbefugte Dritte könnten die Lücke nutzen, um sensible Daten auszulesen, Datenbankinhalte zu manipulieren oder im extremsten Fall die vollständige Kontrolle über die WordPress-Installation zu übernehmen. Da viele Websites das Plugin für den regelmäßigen Datentransfer nutzen, bietet die Schwachstelle einen attraktiven Angriffspunkt für Cyberkriminelle.
Wer sich mit der Absicherung digitaler Infrastrukturen befasst, sollte auch die Sicherheit der genutzten Endgeräte im Blick behalten. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Cyberbedrohungen und zeigt, wie Sie Sicherheitslücken proaktiv schließen. Gratis-E-Book zur Cyber Security jetzt herunterladen
Sicherheitsforscher identifiziert Schwachstelle im August
Die Entdeckung der Lücke geht auf den Sicherheitsforscher Jack Taylor zurück. Bereits am 14. August 2026 identifizierte Taylor die Schwachstelle und meldete sie den Verantwortlichen. Für die Aufdeckung von CVE-2026-19949 und die anschließende Meldung erhielt der Forscher eine Prämie in Höhe von 5.761 US-Dollar.
Dieser Prozess ermöglichte es den Entwicklern, eine Korrektur zu erarbeiten, bevor Informationen über die Lücke öffentlich wurden und für großflächige Angriffe missbraucht werden konnten.
Neben technischen Schwachstellen nutzen Angreifer oft gezielte Manipulationstaktiken, um Zugriff auf sensible Systeme zu erhalten. Erfahren Sie in diesem kostenlosen Report, wie Sie Phishing-Angriffe und andere kriminelle Methoden frühzeitig entlarven. Kostenloses Anti-Phishing-Paket für Unternehmen anfordern
Verzögerungen bei Updates lassen Millionen Seiten ungeschützt
Obwohl bereits eine abgesicherte Version des Plugins zur Verfügung steht, besteht weiterhin eine große Sicherheitslücke in der installierten Basis. Mit der Version 7.110 haben die Entwickler einen Patch veröffentlicht, der die SQL-Injection-Problematik behebt. Dennoch zeigen aktuelle Daten, dass die Verbreitung des Updates hinter den Erwartungen zurückbleibt.
Berichten zufolge wurden bisher lediglich 35 Prozent der insgesamt über fünf Millionen Installationen auf den neuesten Stand gebracht. Dies bedeutet, dass mehr als drei Millionen Websites weiterhin die veraltete und somit angreifbare Version nutzen. Administratoren von WordPress-Instanzen sind daher angehalten, ihre Plugins umgehend zu prüfen und sicherzustellen, dass mindestens die Version 7.110 installiert ist.
Die Situation verdeutlicht erneut die Herausforderungen im Bereich der Web-Sicherheit, wenn weitverbreitete Werkzeuge betroffen sind und Nutzer notwendige Sicherheitsaktualisierungen nur zeitverzögert einspielen. Solange die Mehrheit der Installationen nicht aktualisiert wurde, bleibt das Risiko für automatisierte Angriffe auf die betroffenen Systeme auf einem hohen Niveau.
Mehr zum Thema bei Golem.de: „Wordpress: Lücke in Backup-Tool gefährdet Millionen von Websites“
