Eine kritische Schwachstelle im weit verbreiteten WordPress-Plugin Elementor Pro (CVE-2026-32475, CVSS 9.0) wird seit dem 19. August 2026 aktiv ausgenutzt – Angreifer schleusen PHP-Webshells ein und übernehmen komplette Websites. Die Sicherheitsfirma Wordfence meldete am 3. September, ihre Web Application Firewall habe seither knapp 190.000 Angriffsversuche blockiert.
So funktioniert der Angriff
Ursache ist eine fehlerhafte Prüfung von Datei-Uploads in den Formularen des Plugins. Reicht ein Angreifer das Upload-Feld als Array ein – mit einer leeren Datei als erstem und einer schädlichen PHP-Datei als zweitem Element –, stoppt Elementor Pro die Validierung der folgenden Dateien. Die Schaddatei landet unter /wp-content/uploads/elementor/forms/ und lässt sich anschließend direkt aufrufen, um beliebige Befehle auf dem Server auszuführen. Eine Authentifizierung ist nicht nötig.
Betroffene Versionen und Reichweite
Verwundbar sind alle Elementor-Pro-Versionen bis einschließlich 4.2.1. Der Hersteller hat die Lücke am 19. August mit Version 4.2.2 geschlossen. Das Plugin ist auf mehr als sechs Millionen Websites im Einsatz – die potenzielle Angriffsfläche ist entsprechend groß. Weil Elementor Pro als kostenpflichtige Erweiterung nicht über das offizielle WordPress-Repository verteilt wird, greifen automatische Updates hier oft nicht zuverlässig. Viele Betreiber laufen deshalb weiterhin ungepatcht – ein gefundenes Fressen für die beobachteten Massenscans, die laut Wordfence bereits um den 23. August ihren Höhepunkt erreichten.
Das ist jetzt zu tun
- Sofort auf Elementor Pro 4.2.2 oder neuer aktualisieren.
- Das Verzeichnis
/wp-content/uploads/elementor/forms/auf unbekannte PHP-Dateien prüfen. - Bei Verdacht auf Kompromittierung Logs sichern und die Seite auf Hintertüren untersuchen.
Quellen: BleepingComputer, The Hacker News, SC Media
