Critical Vulnerability in User Registration und Membership ermöglicht die Erstellung von unauthenticated Administrator-Konten und das Kompromieren von WordPress-Websites

Ein schwerwiegender Fehler im User Registration & Membership Plugin, das von WPEverest entwickelt und auf Zehntausenden von WordPress-Seiten präsentiert wird, wird von Angreifern verwendet, um die Kontrolle der Webseiten zu übernehmen. Das Problem, identifiziert als CVE-2026-1492 und mit einer kritischen Schwere Punktzahl von 9.8 qualifiziert, ermöglicht es einem schädlichen Schauspieler, Konten mit Administrator-Privilegien zu erstellen, ohne authentifiziert zu werden, mit Vorteil, dass das Plugin die Rolle des Benutzers akzeptiert, der während der Registrierung bereitgestellt wird.

Dieser Vektor ist besonders gefährlich, weil ein WordPress-Administrator-Konto kein einfaches Konto mit mehr Bearbeitungsoptionen ist: es gibt die Möglichkeit, Plugins und Themen zu installieren und zu löschen, PHP-Code auszuführen oder zu ändern, Sicherheitseinstellungen zu ändern, legitime Konten zu löschen und Inhalte zu ändern. Mit dieser Steuerung kann ein Angreifer Benutzerdatenbanken extrahieren, Back-Türen und schädlichen Code einfügen, um Malware zu verteilen oder die Kontrollinfrastruktur zu montieren, gestohlenen Datenspeicher oder Proxy für illegalen Verkehr.

Die von den Forschern erhobenen öffentlichen Daten zeigen aktive Verwertungsaktivitäten. Die Firma Defiant, Schöpfer des Wordfence-Sicherheits-Plugins, registriert und blockiert mehr als 200 Versuche, in Kundenumgebungen in den letzten 24 Stunden zu arbeiten. Der Umfang erhöht die Dringlichkeit der Aktion: Das betroffene Plugin hat eine Präsenz in mehr als 60.000 Einrichtungen nach seinem öffentlichen Rekord, so dass viele Websites potenzielle Ziele, wenn sie nicht parken.

Die Plugin-Beamten veröffentlichten eine Korrektur, die die ursprüngliche Sicherheitslücke schließt. Die Versionen bis 5.1.2 sind betroffen; das Problem wurde zunächst in der Version 5.1.3 angesprochen und seitdem wird empfohlen, die neueste Version zu aktualisieren (zum Zeitpunkt der Mitteilung, die 5.1.4). Sie können die offiziellen Informationen überprüfen und das Update aus dem WordPress-Repository auf der Projektseite herunterladen: Benutzerregistrierung auf WordPress.org und die Dokumentation des Entwicklers bei WPEverest.

Wenn Sie das Update nicht sofort anwenden können, ist die von den Spezialisten empfohlene Alternative, das Plugin vorübergehend zu deaktivieren oder zu entfernen, bis Sie die korrigierte Version installieren können. Dies ist eine einfache vorbeugende Maßnahme, die verhindert, dass eine gefährdete Schnittstelle für automatische oder manuelle Bediener öffentlich zugänglich ist.

Neben der Anwendung des Patches oder der Deaktivierung des Plugins sollte eine proaktive Überprüfung der Website erfolgen. Überprüfen Sie die Benutzerliste und entfernen Sie unbekannte Verwaltungskonten; überprüfen Sie Zugriffs- und Registrierungsprotokolle, um ungewöhnliche Aktivitätsspitzen oder Benutzer-Erstellungsprotokolle zu erkennen; führen Sie einen Scan mit WordPress-Sicherheitslösungen und, wenn es den geringsten Verdacht des Engagements gibt, starten Sie von einer sauberen und gebrochenen Sicherung von zugehörigen API-Anmeldeinformationen und Schlüsseln neu. Für allgemeine Leitlinien der Stärkung und guten Praktiken, siehe der offizielle WordPress-Härtung Anleitung: Worauf warten?, und die Erklärung von Rollen und Fähigkeiten zu wissen, was in den Genehmigungen zu überprüfen: Rollen und Kapazitäten.

Dieser Vorfall passt zu einem breiteren Trend: Plugins bleiben ein bevorzugter Vektor von Angreifern, um Privileg Klettern oder Remote Ausführung zu erreichen. In den letzten Monaten wurden mehrere kritische Sicherheitslücken in beliebten Ergänzungen veröffentlicht und ausgenutzt, die es erlauben, administrativen Zugriff auf die Ausführung von Remote-Code. Im Januar 2026 wurde beispielsweise ein weiterer aktiver Betrieb dokumentiert, der es dem Administrator ermöglichte, durch einen maximalen Ausfall im Modular DS-Plugin (CVE-2026-23550) Zugriff auf gefährdete Websites zu erhalten, was die Notwendigkeit unterstreicht, einen ständigen Aktualisierungs- und Überwachungszyklus aufrechtzuerhalten.

Wenn Sie Web-Administrator sind, ist die praktische Regel einfach: Updates jetzt und überprüfen Sie den Zustand der Website. Wenn Sie mehrere Einrichtungen verwalten, programmieren Sie automatische Updates für kritische Komponenten oder wenden Sie Kontrollen an, die die Belichtung von öffentlichen Registrierungsseiten begrenzen. Für Teams, die Web-Services an Dritte bereitstellen, informieren Sie Kunden umgehend und teilen Sie klare Risikominderungshinweise.

Die gute Nachricht ist, dass, solange die parcheed Version installiert ist, Sicherheitslücke gelöst wird. Die schlechte Nachricht ist, dass die Angreifer nicht erwarten: Sie nutzen schnell bekannte Löcher, besonders wenn sie Administratoren ohne Authentifizierung erstellen können. Plugins auf dem neuesten Stand zu halten, dies mit regelmäßigen Backup und einer Backup-Lösung, die anormales Verhalten erkennt, sind einfache Maßnahmen, die das Risiko von Kompromissen deutlich reduzieren.