Ein Backup-Plugin soll dich schützen. Bei „All-in-One WP Migration and Backup“ war zuletzt das Gegenteil der Fall: Über 5 Millionen aktive Installationen waren durch eine kritische Sicherheitslücke angreifbar, mit der ein nicht angemeldeter Angreifer am Ende die komplette Website übernehmen kann. Anfang September wurde die Lücke öffentlich gemacht – und laut Wordfence hatte drei Tage später erst gut ein Drittel der Nutzer das Update eingespielt.
Was ist passiert
Die Lücke trägt die Kennung CVE-2026-19949 und steckt in der Archiv-Wiederherstellungsfunktion des Plugins. Betroffen sind alle Versionen bis einschließlich 7.109, behoben ist sie seit Version 7.110. Der Hersteller ServMask wurde am 17. August 2026 informiert und hat den Patch drei Tage später veröffentlicht. Wordfence, die die Lücke im Rahmen ihres Bug-Bounty-Programms entdeckt haben, machten sie am 2. September öffentlich [Wordfence/heise]. Der CVSS-Wert liegt bei 8.8 – „High“, nicht „Critical“, aber nah dran.
Wie der Angriff funktioniert
Technisch ist das eine sogenannte „second-order“ SQL-Injection – und die ist tückisch, weil sie nicht sofort auffällt. Ein Angreifer schickt dafür präparierte Trackback-Daten an einen öffentlichen Beitrag. Die Daten liegen dann erst einmal harmlos in der Datenbank, bis eine Website-Administratorin oder ein Administrator die Seite exportiert und anschließend mit dem Plugin wieder importiert. Genau in diesem Moment schlägt die unsaubere Maskierung von Anführungszeichen und Backslashes zu: Der geheime Plugin-Schlüssel lässt sich auslesen, und darüber kann ein manipulierter Import mit Schadcode auf dem Server ausgeführt werden [SentinelOne, heise].
Mit anderen Worten: Genau die Routine, die eigentlich für Sicherheit sorgen soll – regelmäßiges Backup und Restore –, wird zum Einfallstor.
Bist du betroffen?
Wenn auf deiner WordPress-Seite das Plugin „All-in-One WP Migration and Backup“ (oder eine seiner Erweiterungen für Dropbox, Google Drive, S3 & Co.) aktiv ist, solltest du als Erstes die Versionsnummer prüfen. Alles unter 7.110 ist verwundbar. Das Plugin gehört zu den populärsten Backup-Lösungen im WordPress-Ökosystem – die Wahrscheinlichkeit, dass es irgendwo in deiner Website-Landschaft eingesetzt wird, ist nicht klein.
Was du jetzt tun solltest
Update auf 7.110 oder neuer, das ist der eigentliche Punkt. Wichtig dabei: Ein reines „Update einspielen und vergessen“ reicht hier nicht ganz. Wenn du seit August exportiert und wieder importiert hast, lohnt sich ein Blick in die Logs und – im Zweifel – ein Blick auf verdächtige Admin-Accounts oder unbekannte Dateien im Upload-Verzeichnis. Ich weiß, das klingt nach viel Aufwand für ein einzelnes Plugin-Update. Ist es aber, sobald man einmal verstanden hat, wie „second-order“-Lücken funktionieren: Der Schaden entsteht zeitversetzt, nicht beim ersten Angriff.
Warum das kein Einzelfall ist
Über 90 Prozent aller registrierten WordPress-Sicherheitslücken hängen mit Plugins zusammen, nicht mit dem WordPress-Kern selbst – das hatte ich im Beitrag zu WordPress-Sicherheit 2026 schon aufgeschlüsselt. Ausgerechnet ein Backup-Plugin betrifft das jetzt wieder – „ausgerechnet“, weil viele Websitebetreiber Backup-Tools als reine Absicherung sehen und seltener aktualisieren als etwa das Theme oder Formular-Plugins.
Häufige Fragen
Muss ich sofort handeln, oder reicht das nächste reguläre Update?
Bei einem CVSS-Wert von 8.8 und einem Angriffsweg, der ohne Anmeldung funktioniert, würde ich nicht bis zum nächsten Wartungsfenster warten. Ein Plugin-Update dauert wenige Minuten.
Reicht ein Update, oder muss ich die Website auch prüfen?
Wenn du seit dem 17. August exportiert und importiert hast, würde ich zusätzlich prüfen: unbekannte Admin-Benutzer, unerwartete Dateien, veränderte .htaccess- oder wp-config.php-Dateien. Im Zweifel lieber einmal zu viel nachgeschaut als einmal zu wenig.
Betrifft das auch andere Backup-Plugins?
Diese konkrete Lücke betrifft nur „All-in-One WP Migration and Backup“. Das Prinzip – Backup- und Import-Funktionen als unterschätzter Angriffsvektor – lässt sich aber nicht auf ein Plugin beschränken.
Wenn du nicht jede Sicherheitsmeldung selbst verfolgen willst: Genau dafür biete ich meine WordPress-Wartung an – mit im Blick behalten, was wirklich wichtig ist, und rechtzeitig Bescheid geben, wenn Handlungsbedarf besteht. Wenn du unsicher bist, ob eine deiner Websites betroffen ist, schreib mir einfach über die Kontaktseite – das schauen wir uns gemeinsam an.