Elementor-Pro-Lücke wird ausgenutzt – Version 4.2.2 schließt den Weg
Die kritische Elementor-Pro-Schwachstelle CVE-2026-32475 wird aktiv gegen WordPress-Websites ausgenutzt. Eine am 5. September 2026 veröffentlichte Einordnung von SecurityWeek bestätigt: Betroffen sind Versionen bis einschließlich 4.2.1, Version 4.2.2 behebt den Fehler.
Der Angriff funktioniert ohne Anmeldung, wenn eine veröffentlichte Seite ein Elementor-Pro-Formular mit einem nicht verpflichtenden Datei-Upload-Feld enthält. Verantwortliche sollten deshalb die installierte Version und die Formular-Konfiguration prüfen, auf mindestens 4.2.2 aktualisieren und unabhängig davon nach Spuren einer bereits erfolgten Kompromittierung suchen.
Ein leerer Eintrag setzt die Dateiprüfung außer Kraft
Die Schwachstelle liegt in der Validierung des Upload-Feldes im Form-Widget. Angreifer können dieses Feld als Array übermitteln: Der erste Eintrag enthält keine Datei, ein nachfolgender Eintrag dagegen eine PHP-Datei. Trifft die Prüfschleife auf den leeren Eintrag, beendet sie die Validierung, statt nur diesen Eintrag zu überspringen.
Bei der anschließenden Verarbeitung wird der leere Eintrag korrekt ausgelassen, die ungeprüfte PHP-Datei jedoch gespeichert. Sie landet im Upload-Verzeichnis und kann anschließend direkt aufgerufen werden. Wenn der Webserver dort PHP-Code ausführt, sind die Ausführung beliebiger Befehle und eine vollständige Übernahme der Website möglich.
Der Exploit setzt nicht lediglich eine installierte Kopie von Elementor Pro voraus. Er benötigt eine veröffentlichte Seite mit dem Form-Widget und mindestens einem optionalen Datei-Upload-Feld. Ohne diese Kombination entspricht die Installation nicht dem dokumentierten Angriffspfad.
Version und Formular entscheiden über die Verwundbarkeit
Die Schwachstellendatenbank von Patchstack weist Elementor Pro bis Version 4.2.1 als verwundbar aus und nennt 4.2.2 als korrigierte Version. Daraus ergibt sich eine kompakte Prüfreihenfolge:
- Die tatsächlich aktive Version von Elementor Pro im WordPress-Backend oder in der zentralen Verwaltungsplattform feststellen.
- Version 4.2.1 und ältere Ausgaben auf mindestens 4.2.2 aktualisieren. Entscheidend ist die Version der Pro-Erweiterung, nicht die des kostenlosen Elementor-Plugins.
- Veröffentlichte Seiten und Templates nach Form-Widgets durchsuchen und prüfen, ob sie ein nicht verpflichtendes Datei-Upload-Feld enthalten.
- Das Formular-Upload-Verzeichnis und die Webserver-Protokolle untersuchen, da ein Update bereits abgelegte Dateien oder andere Folgen eines früheren Angriffs nicht beseitigt.
Fehlt die dokumentierte Formular-Konfiguration, passt der bekannte Exploit nicht zur Website. Eine veraltete Version sollte trotzdem aktualisiert werden: Das Entfernen oder Umstellen eines Formularfeldes korrigiert den Validierungsfehler im Plugin nicht.
PHP-Dateien und Formularaufrufe liefern konkrete Spuren
Der am 2. September 2026 veröffentlichte Angriffsbericht von Wordfence dokumentiert erste Zugriffe vom 19. August, besonders hohe Aktivität bis zum 23. August und mehr als 190.000 von der eigenen Firewall blockierte Versuche. Diese Zahl steht für abgewehrte Anfragen, nicht für 190.000 nachweislich kompromittierte Websites.
Bei erfolgreicher Ausnutzung wird die PHP-Datei mit einem zufällig erzeugten Namen und der vom Angreifer vorgegebenen Endung unter /wp-content/uploads/elementor/forms/ gespeichert. Dieser Ordner ist für hochgeladene Formulardaten bestimmt und sollte keine PHP-Dateien enthalten. Eine Datei mit der Endung .php an dieser Stelle gilt daher als starkes Anzeichen einer Kompromittierung.
In den Zugriffsprotokollen sind Anfragen an /wp-admin/admin-ajax.php relevant, bei denen der Aktionsparameter elementor_pro_forms_send_form gesetzt ist. Unter den besonders aktiven Absendern befanden sich 2602:fa59:10:7a1::1, 185.196.220.85, 103.84.230.85 und 103.90.148.202. Ein Treffer auf eine dieser Adressen rechtfertigt eine Untersuchung, beweist allein aber keinen erfolgreichen Angriff.
Umgekehrt bedeutet das Fehlen dieser Adressen keine Entwarnung: Andere Infrastruktur kann verwendet worden sein, und ältere Protokolle können bereits rotiert sein. Aussagekräftiger ist die gemeinsame Bewertung von Formularaufrufen, unerwarteten PHP-Dateien und weiteren nicht autorisierten Änderungen am System.
Firewall, Update und Untersuchung erfüllen unterschiedliche Aufgaben
Die integrierte Erkennung schädlicher Datei-Uploads der Wordfence-Firewall soll bekannte Exploitversuche blockieren. Der zusätzliche Schutz vor einem direkten Aufruf von PHP-Dateien im Upload-Bereich greift dort jedoch nur, wenn die Option zur Deaktivierung der Codeausführung für das Upload-Verzeichnis aktiviert ist. Eine solche Firewall-Regel verringert das Risiko, korrigiert aber nicht das Plugin.
Drei Zustände müssen getrennt betrachtet werden: Eine Installation kann wegen ihrer Version und Formular-Konfiguration verwundbar sein, eine Firewall kann einen einzelnen Angriff abgewehrt haben, oder eine PHP-Datei kann bereits erfolgreich auf dem Server abgelegt worden sein. Erst Version 4.2.2 schließt den beschriebenen Validierungsweg; das Update allein beantwortet nicht, ob die Website zuvor kompromittiert wurde.
Bestätigt sind damit die aktive Ausnutzung, die betroffenen Versionen, die notwendige Formular-Konfiguration und die Fehlerbehebung in Version 4.2.2. Nicht bekannt ist, wie viele Websites tatsächlich übernommen wurden. Aus der Zahl blockierter Versuche lässt sich diese Größe nicht ableiten.
Lesen Sie auch:
Newsletter abonnieren
Erhalten Sie die neuesten Nachrichten zu Web3, KI und Krypto direkt in Ihren Posteingang.