Sicherheitslücke in WordPress-Plugins Ninja Forms und WPC aktiv ausgenutzt

Security · 6.10.2026

Angreifer nutzen Schwachstellen in den WordPress-Plugins Ninja Forms und WPC Product Bundles aus, um Hintertüren einzurichten und Admin-Konten zu kapern.

Sicherheitsforscher warnen vor aktiven Angriffen auf WordPress-Websites, bei denen kritische Sicherheitslücken in populären Erweiterungen ausgenutzt werden. Betroffen sind das weit verbreitete Formular-Plugin Ninja Forms sowie das Plugin WPC Product Bundles for WooCommerce. Angreifer nutzen sogenannte Stored-Cross-Site-Scripting-Schwachstellen (XSS), um schadhaften Code einzuschleusen, Hintertüren zu installieren und unbefugte Administrator-Konten zu erstellen.

Warum ist das wichtig?

WordPress ist das weltweit am häufigsten genutzte Content-Management-System und bildet auch in der DACH-Region das Fundament zahlreicher Unternehmens-Websites, Online-Shops und Kundenportale. Ninja Forms gehört mit über einer Million aktiven Installationen zu den Standard-Erweiterungen für Kontaktformulare. Die erfolgreiche Ausnutzung dieser Schwachstellen ermöglicht es Cyberkriminellen, die vollständige Kontrolle über die betroffene Webpräsenz zu übernehmen. Für Unternehmen birgt dies erhebliche Risiken: Neben dem Diebstahl sensibler Kundendaten drohen Imageschäden durch manipulierte Website-Inhalte, SEO-Spam-Verteilung oder die Zweckentfremdung des Servers für weitere Angriffe. Da die Angriffe bereits aktiv stattfinden, besteht unmittelbarer Handlungsbedarf für IT-Verantwortliche und Web-Administratoren.

Was Nutzer jetzt tun sollten

Administratoren von WordPress-Instanzen sollten unverzüglich Maßnahmen zur Absicherung ergreifen:

• Versionen prüfen: Kontrollieren Sie umgehend, welche Versionen von Ninja Forms und WPC Product Bundles auf Ihren Systemen installiert sind.
• Updates einspielen: Aktualisieren Sie die betroffenen Plugins sofort auf die neuesten, vom Entwickler bereitgestellten Versionen, in denen die Sicherheitslücken geschlossen wurden.
• Logfiles analysieren: Untersuchen Sie die Server- und WordPress-Protokolle auf ungewöhnliche Aktivitäten, insbesondere auf neu erstellte Administrator-Accounts oder unbekannte Skripte in den Plugin-Verzeichnissen.
• Sicherheits-Plugins nutzen: Der Einsatz einer Web Application Firewall (WAF) für WordPress kann dabei helfen, bösartige XSS-Anfragen frühzeitig zu blockieren.

Fazit

Die aktuellen Angriffe verdeutlichen einmal mehr, dass die Sicherheit einer WordPress-Website maßgeblich von der Aktualität ihrer Plugins abhängt. Ein strukturiertes Patch-Management und die regelmäßige Überwachung von Benutzerkonten sind unerlässlich, um das Risiko einer Kompromittierung im geschäftlichen Umfeld zu minimieren.

Quelle: BleepingComputer