Schwachstelle in WordPress-Backup-Plugin setzt Millionen von Websites dem Risiko einer Übernahme aus

Eine schwerwiegende Schwachstelle in einem WordPress-Backup-Plugin könnte es nicht authentifizierten Angreifern ermöglichen, die Kontrolle über anfällige Websites zu übernehmen. Das Problem betrifft All-in-One WP Migration and Backup, ein weit verbreitetes Tool mit mehr als fünf Millionen aktiven Installationen.

Die als CVE-2026-19949 verfolgte Schwachstelle kann zur Ausführung von Remote-Code führen, wenn ein Administrator ein Website-Backup wiederherstellt. ServMask hat das Problem in Version 7.110 behoben, doch Millionen von Websites könnten weiterhin anfällige Versionen verwenden.

SQL-Injection-Schwachstelle betrifft Versionen bis einschließlich 7.109

Der Sicherheitsforscher Jack Taylor entdeckte die Schwachstelle und meldete sie Mitte August über Wordfence. Wordfence beschreibt CVE-2026-19949 als Second-Order-SQL-Injection-Schwachstelle, die All-in-One WP Migration and Backup bis einschließlich Version 7.109 betrifft.

Die Schwachstelle im WordPress-Backup-Plugin entsteht durch die Art und Weise, wie das Tool maskierte Backslashes und Anführungszeichen verarbeitet, während Datenbankinhalte bei der Wiederherstellung eines Archivs neu geschrieben werden.

Angreifer können über WordPress-Trackbacks schädliche Daten einschleusen. Die Payload bleibt anschließend in der Datenbank der Website gespeichert, bis ein Administrator die Website exportiert und importiert oder wiederherstellt.

Diese Verzögerung unterscheidet den Angriff von einer sofortigen Kompromittierung. Die Wiederherstellung von Backups ist jedoch eine routinemäßige Aufgabe für ein Plugin, das für die Migration und Wiederherstellung vollständiger WordPress-Websites entwickelt wurde.

Angriff beginnt vor der Wiederherstellung des Backups

Ein Angreifer kann die eingeschleuste SQL-Anweisung nutzen, um den geheimen Importschlüssel des Plugins über einen öffentlichen Kommentar offenzulegen. Mit diesem Schlüssel könnte der Angreifer ein schädliches .wpress-Archiv mit ausführbarem Code importieren.

Das Archiv könnte anschließend ausgeführt werden, wenn ein Administrator eine Wiederherstellung durchführt. Eine erfolgreiche Codeausführung könnte dem Angreifer die vollständige Kontrolle über die betroffene WordPress-Website verschaffen.

Die Schwachstelle betrifft ein Plugin, das Datenbanken, Mediendateien, Themes und andere zentrale Website-Inhalte verwaltet. Ein erfolgreicher Angriff könnte daher sowohl die Website als auch die damit verbundenen Systeme gefährden.

Millionen von WordPress-Websites könnten weiterhin anfällig sein

All-in-One WP Migration and Backup verfügt über mehr als fünf Millionen aktive Installationen. Dennoch hatten nach Verfügbarkeit des Sicherheitsupdates nur rund 35 Prozent der Nutzer auf die korrigierte Version aktualisiert.

Damit verwenden schätzungsweise 3,25 Millionen Websites weiterhin eine anfällige Version des Plugins.

ServMask erhielt die Meldung von Wordfence am 15. August und veröffentlichte das Sicherheitsupdate am 20. August. Website-Betreiber sollten All-in-One WP Migration and Backup so schnell wie möglich auf Version 7.110 oder neuer aktualisieren.

Administratoren sollten außerdem aktuelle Trackbacks, öffentliche Kommentare und ungewöhnliche Importaktivitäten überprüfen. Sie sollten nach unerwarteten Archiven oder unerklärlichen Änderungen an Themes, Plugins und Administratorkonten suchen.

Wiederherstellungen lösen die gespeicherte Payload aus

Der schädliche SQL-Code wird erst ausgeführt, wenn ein Administrator ein Backup-Archiv wiederherstellt. Zu diesem Zeitpunkt verarbeitet das Plugin die gespeicherten Datenbankinhalte und kann die Payload ausführen.

Diese Voraussetzung verringert die Wahrscheinlichkeit eines sofortigen Angriffs. Sie beseitigt das Risiko jedoch nicht, da die Wiederherstellung von Backups eine zentrale Funktion des Plugins ist.

Eine deaktivierte anfällige Version stellt ein geringeres Risiko dar. Die Schwachstelle im WordPress-Backup-Plugin kann jedoch weiterhin eine Gefahr darstellen, wenn ein Administrator das Plugin vorübergehend aktiviert, um eine Website wiederherzustellen oder zu migrieren.

Website-Betreiber sollten das Update nicht aufschieben. Sie sollten anfällige Versionen vor dem nächsten Export, Import oder der nächsten Wiederherstellung eines Backups ersetzen.