Am 19. August hat Elementor die Version 4.2.2 seines kostenpflichtigen WordPress-Baukastens veröffentlicht. Sie schliesst eine Schwachstelle, über die Fremde ohne Anmeldung ausführbare Dateien auf den Server legen konnten — und damit die Kontrolle über die Website übernehmen. Die Lücke trägt die Kennung CVE-2026-32475 und wird mit 9,0 von 10 Punkten als kritisch eingestuft.
Elementor läuft nach Herstellerangaben auf rund sechs Millionen Websites. Bevor Sie jetzt nachsehen: Die meisten davon sind nicht betroffen.
Zwei Bedingungen müssen zusammenkommen
Erstens betrifft es ausschliesslich Elementor Pro, die kostenpflichtige Fassung. Das kostenlose Elementor hat die verwundbare Funktion gar nicht.
Zweitens muss auf der Website eine veröffentlichte Seite mit einem Formular-Widget stehen, das ein Feld zum Hochladen von Dateien enthält. Ohne dieses Feld führt der Angriff ins Leere.
In der Praxis heisst das: Betroffen sind Bewerbungsformulare, Offertanfragen mit Plananhang, Support-Formulare mit Screenshot-Feld. Ein gewöhnliches Kontaktformular mit Name, E-Mail und Nachricht reicht nicht aus.
Wenn beides zutrifft, ist die Lage allerdings ernst. Es braucht kein Konto, keine Anmeldung, keinen Klick eines Mitarbeitenden.
Warum der Angriff funktioniert
Das Plugin prüft die hochgeladenen Dateien in einem Durchgang und verschiebt sie in einem zweiten. Beide Durchgänge behandeln leere Einträge unterschiedlich: Der prüfende bricht ab, der verschiebende überspringt sie und macht weiter.
Wer also zwei Einträge für dasselbe Feld schickt — einen leeren und dahinter eine PHP-Datei —, kommt an der Prüfung vorbei, während die Datei trotzdem im öffentlichen Verzeichnis landet.
Der zweite Teil ist der interessantere. Man könnte einwenden: Die Datei bekommt doch einen zufälligen Namen, den findet niemand. Genau das stimmt nicht. Der Name wird aus der Uhrzeit gebildet — Sekunde und Mikrosekunde —, und wer weiss, wann er die Datei abgeschickt hat, muss nur noch wenige Zeichen durchprobieren.
In vielen Fällen entfällt selbst das: Die vorkonfigurierte Benachrichtigungsmail des Formulars enthält die vollständige Adresse der hochgeladenen Datei.
Der Punkt, der kleine Betriebe besonders trifft
Hier liegt das eigentliche Problem, und es steht in keiner der Meldungen.
Elementor Pro ist ein Abonnement. Läuft die Lizenz aus, funktioniert die Website weiter, alle gestalteten Seiten bleiben bestehen — aber das Plugin bekommt keine Updates mehr, auch keine sicherheitsrelevanten. Es meldet die neue Version nicht einmal.
Wer seine Website vor drei Jahren bauen liess und die Lizenz seither nicht verlängert hat, sieht in der WordPress-Verwaltung also schlicht nichts. Kein Hinweis, keine rote Zahl. Die Lücke bleibt dauerhaft offen.
Das ist keine Nachlässigkeit des Herstellers, sondern das Geschäftsmodell — es zu kennen, ist aber die Voraussetzung dafür, die eigene Website richtig einzuschätzen.
Was jetzt zu tun ist
Version prüfen. In der WordPress-Verwaltung unter *Plugins* nachsehen, welche Fassung von Elementor Pro läuft. Alles vor 4.2.2 ist verwundbar.
Aktualisieren — wenn es geht. Mit gültiger Lizenz genügt die übliche Aktualisierung. Ohne gültige Lizenz gibt es genau zwei ehrliche Wege: die Lizenz verlängern oder das Formular mit dem Datei-Upload vom Netz nehmen, bis das erledigt ist.
Nachsehen, ob schon jemand da war. Das ist der Schritt, der meistens vergessen geht: Ein Update schliesst die Lücke, entfernt aber nichts, was vorher hindurchgekommen ist. Im Verzeichnis `wp-content/uploads/elementor/forms/` gehören Dokumente und Bilder — jede Datei mit der Endung .php ist dort ein Alarmzeichen. Wer sie findet, sollte nicht selbst aufräumen, sondern die Website prüfen lassen: Eine solche Datei ist selten die einzige Spur.
Wie dringend ist es?
Angriffe im grossen Stil waren zum Zeitpunkt dieses Beitrags nicht bekannt. Das ist eine Momentaufnahme und kein Entwarnungssignal.
Die technische Beschreibung ist inzwischen öffentlich, und wir haben im selben Monat gesehen, wie schnell das kippt: Bei der WordPress-Lücke wp2shell lagen zwischen der Veröffentlichung der Details und den ersten massenhaften Angriffen wenige Tage.
Es ist derselbe Ablauf, den wir hier seit Wochen beschreiben — die Taktung der Updates zieht an, und der Abstand zwischen "behoben" und "ausgenutzt" wird kürzer. Wer regelmässig aktualisiert, hat diese Meldung schon hinter sich, bevor sie ihn erreicht.
Bei den Websites, die wir betreuen, ist das erledigt. Wenn Sie unsicher sind, ob es Ihre betrifft: Die Prüfung dauert wenige Minuten, und die Frage kostet nichts.