Wer auf seiner WordPress-Seite ein Kontakt- oder Bewerbungsformular mit Datei-Upload eingebaut hat und dafür das Plugin Forminator nutzt, sollte jetzt kurz innehalten: Seit Ende August ist eine kritische Sicherheitslücke bekannt, über die sich ein Angreifer ganz ohne Login und ohne jede Interaktion die volle Kontrolle über die Website verschaffen kann.
Was ist passiert?
Die Lücke trägt die Kennung CVE-2026-15748 und wurde mit einem CVSS-Wert von 9,8 von 10 eingestuft – das ist so ziemlich das Maximum an Dringlichkeit, das eine Sicherheitslücke bekommen kann [Tenable, cvefeed.io]. Betroffen sind alle Versionen von Forminator Forms bis einschließlich 1.56.1. Das Plugin ist auf über 600.000 aktiven Websites installiert, laut SecurityWeek liefen zum Zeitpunkt der Veröffentlichung noch rund 300.000 Installationen auf einer verwundbaren Version [SecurityWeek].
Technisch gesehen liegt der Fehler in der Datei-Upload-Funktion von Forminator: Die Prüfung erlaubter Dateiendungen lässt sich mit einem präparierten Auswahlfeld (Select-Feld) austricksen, das sich fälschlicherweise als Upload-Feld mit eigener Konfiguration ausgibt. Ein Formular braucht dafür nur zwei ganz gewöhnliche Bausteine: ein Datei-Upload-Feld und ein Auswahlfeld – eine Kombination, die in Bewerbungs- oder Support-Formularen ziemlich häufig vorkommt [The Hacker News]. Gelingt der Trick, kann der Angreifer eine PHP-Datei hochladen und darüber Schadcode auf dem Server ausführen. Keine Anmeldung nötig, keine Nutzerinteraktion – das Formular selbst reicht als Einfallstor.
Was du jetzt tun solltest
- Sofort aktualisieren: Version 1.56.2 schließt die Lücke. Prüf im WordPress-Backend unter „Plugins“, welche Version bei dir läuft.
- Formulare durchsehen: Kombinierst du irgendwo ein Datei-Upload-Feld mit einem Auswahlfeld, schau dir dieses Formular nach dem Update noch einmal genauer an.
- Upload-Verzeichnis prüfen: Wirf einen Blick in den Upload-Ordner von Forminator (meist unter
wp-content/uploads/forminator) und such nach Dateien mit der Endung.php, die dort nichts verloren haben. - .htaccess-Schutz kontrollieren: In eigenen Upload-Verzeichnissen sollte die Ausführung von PHP-Dateien grundsätzlich per
.htaccessgesperrt sein.
Warum das kein Einzelfall ist
Ich sehe in der Wartung immer wieder dasselbe Muster: Nicht der WordPress-Kern ist das Problem, sondern die Plugins drumherum. Über 91 % aller neu gemeldeten Sicherheitslücken im WordPress-Ökosystem entfielen 2025/2026 auf Plugins, nicht auf WordPress selbst [Patchstack]. Ein Formular-Baukasten wie Forminator ist bequem – aber jede zusätzliche Funktion ist auch eine zusätzliche Angriffsfläche. Bei kritischen Lücken wie dieser hier vergehen mittlerweile oft nur Stunden zwischen Veröffentlichung und den ersten automatisierten Angriffswellen, nicht mehr Tage.
FAQ
Ich nutze Forminator, aber ohne Datei-Upload-Feld – bin ich trotzdem betroffen?
Die konkrete Angriffskette hier setzt ein Datei-Upload-Feld voraus. Trotzdem: Immer aktualisieren. Es ist nicht ausgeschlossen, dass verwandte Schwachstellen auch andere Feldtypen betreffen, und ein veraltetes Plugin bleibt so oder so ein Risiko.
Woran erkenne ich, ob meine Seite schon betroffen war?
Prüf den Upload-Ordner auf fremde PHP-Dateien, sieh dir die zuletzt geänderten Dateien auf dem Server an und wirf einen Blick in die Zugriffs-Logs auf ungewöhnliche POST-Anfragen an deine Formulare. Im Zweifel: lieber einmal zu viel nachsehen.
Reicht ein Update, oder muss ich noch mehr tun?
Das Update schließt die Lücke für neue Angriffe. Wenn du Hinweise auf eine bereits erfolgte Kompromittierung findest, reicht ein Update allein nicht – dann muss die Seite bereinigt und die Zugänge (Passwörter, API-Keys) erneuert werden.
Wenn dir das gerade zu viel auf einmal ist: Ich schau mir das gerne für dich an, aktualisiere die betroffenen Plugins und prüfe, ob deine Seite Spuren eines Angriffs zeigt. Melde dich einfach.
Quellen
- SecurityWeek: „300,000 WordPress Sites Potentially Exposed to Hacking Due to Form Plugin Flaw“ (September 2026)
- The Hacker News: „Forminator WordPress Flaw Can Enable Unauthenticated RCE via Malicious PHP Uploads“ (August 2026)
- Tenable: CVE-2026-15748 Datenblatt
- Patchstack: „State of WordPress Security in 2026“