Am 26. Juli 2026 wurde bekannt, dass WPForms Pro – eines der meistgenutzten Formular-Plugins für WordPress – bis Version 1.10.1.1 eine kritische Sicherheitslücke enthält. Die Lücke trägt die Kennung CVE-2026-10818 und lässt sich ohne Login ausnutzen. Wer WPForms Pro einsetzt, sollte jetzt kurz innehalten und den Plugin-Ordner prüfen.
Was ist passiert?
Die Schwachstelle steckt in der Funktion ajax_chunk_upload_finalize, die WPForms für den Chunk-Upload größerer Dateien verwendet. Das Problem: Die Datei wird zuerst komplett auf den Server geschrieben – und erst danach geprüft, ob der Dateityp überhaupt erlaubt ist. Schlägt die Prüfung fehl, wird die zusammengesetzte Datei nicht zuverlässig wieder gelöscht [GitHub Advisory Database, GHSA-g685-9q2w-88f4]. Im schlimmsten Fall landet so eine ausführbare Datei auf deinem Server, ganz ohne Benutzerkonto oder Login.
Betroffen sind alle Versionen von WPForms Pro bis einschließlich 1.10.1.1. Der Hersteller hat die Lücke mit Version 1.10.1.2 geschlossen.
Warum das mehr als eine Randnotiz ist
WPForms zählt zu den größten Formular-Plugins im WordPress-Ökosystem, mit mehreren Millionen aktiven Installationen über die kostenlose und die Pro-Version hinweg. Das ist genau das Muster, das sich in den letzten Wochen in diesem Blog immer wieder gezeigt hat: Nicht der WordPress-Kern ist meistens das Problem, sondern die Plugins, die fast jede Website zusätzlich installiert hat. Ein „kleines“ Formular-Plugin für die Kontaktseite kann eben doch zur offenen Tür werden.
Erst vor wenigen Tagen ging mit „wp2shell“ eine kritische Lücke im WordPress-Kern selbst durch die Fachpresse. Jetzt zeigt sich: Auch abseits des Kerns bleibt die Lage angespannt. Wer nur gelegentlich Updates einspielt, sammelt gerade einiges an.
Was du jetzt tun solltest
- Prüfe im WordPress-Backend unter „Plugins“, welche Version von WPForms (Lite oder Pro) bei dir aktiv ist.
- Ist eine Version bis 1.10.1.1 installiert, aktualisiere umgehend auf 1.10.1.2 oder neuer.
- Kontrolliere danach den Upload-Ordner (typischerweise
wp-content/uploads/wpforms/) auf ungewöhnliche Dateien, die dort nicht hingehören – etwa .php-Dateien. - Wenn du unsicher bist, ob bereits etwas hochgeladen wurde: Ein Blick ins Server-Log oder ein kurzer Scan mit einem Sicherheits-Plugin schafft Klarheit.
Ich prüfe genau solche Dinge routinemäßig bei den Websites, die ich betreue – meistens automatisiert, aber eben auch mit einem Blick von außen, wenn eine neue Lücke wie diese bekannt wird.
FAQ
Ist die kostenlose Version WPForms Lite auch betroffen?
Die aktuell bekannte Lücke (CVE-2026-10818) betrifft laut GitHub Advisory Database gezielt WPForms Pro. Unabhängig davon gilt: Auch für WPForms Lite wurden in der Vergangenheit eigene Schwachstellen gemeldet, ein aktuelles Update schadet also nie.
Woran erkenne ich, ob meine Seite schon betroffen war?
Eindeutige Anzeichen sind unbekannte Dateien im Upload-Ordner, unerklärliche neue Administrator-Konten oder eine plötzlich langsame Seite. Im Zweifel hilft ein Malware-Scan – oder ein Blick von jemandem, der weiß, wonach er suchen muss.
Reicht ein automatisches Update-Plugin, um solche Lücken abzufangen?
Automatische Updates helfen, aber nur, wenn sie auch wirklich zuverlässig laufen und jemand die Ergebnisse kontrolliert. Ich habe schon öfter Seiten gesehen, bei denen das Auto-Update-Feature seit Monaten lautlos fehlgeschlagen ist – bemerkt hat das niemand.
Falls dir das Nachhalten solcher Meldungen zu viel wird: Ich biete eine laufende WordPress-Wartung an, bei der genau solche Lücken zeitnah geschlossen werden, bevor sie zum Problem werden. Schreib mir einfach, wenn du wissen willst, wie das für deine Seite aussehen könnte.
Mehr zum Thema: 12 Härtungsmaßnahmen für dein WordPress, Soforthilfe-Checkliste bei WordPress-Hack oder direkt meine WordPress-Wartung.