Über 100.000 blockierte Angriffsversuche auf ein einziges WooCommerce-Plugin – und das, obwohl die Lücke seit Februar geschlossen ist. Genau das zeigt gerade, wie lange eine einmal veröffentlichte Sicherheitslücke ein Problem bleibt, wenn niemand das Update einspielt.
Was ist passiert?
Am 20. Februar 2026 wurde die Lücke CVE-2026-27540 im Plugin „WooCommerce Wholesale Lead Capture“ von Rymera Web Co veröffentlicht und mit Version 2.0.3.2 geschlossen [Wordfence, Rapid7]. Trotzdem läuft seit Monaten eine aktive Angriffswelle: Wordfence hat allein seit Juni 2026 mehr als 100.000 Ausnutzungsversuche blockiert, mit Höhepunkten vom 4. bis 17. Juni sowie am 1. Juli und 30. August [TheHackerNews, Infosecurity Magazine]. In den 24 Stunden vor Veröffentlichung des Berichts zählte Wordfence 99 weitere Angriffe [Infosecurity Magazine].
Wer ist betroffen?
Betroffen sind alle Installationen mit Version 2.0.3.1 oder älter. Rund 6.000 Shops setzen das Plugin aktiv ein [Rapid7] – auf den ersten Blick nicht viel, für die Betreiber selbst aber gleich richtig unangenehm: Die Lücke lässt sich ohne Login ausnutzen und erlaubt vollen Zugriff auf den Server.
Wie läuft der Angriff ab?
Der Upload-Mechanismus des Plugins prüft Dateiendungen nicht serverseitig, sondern liest die erlaubten Formate direkt aus der Anfrage des Angreifers aus [Rapid7]. Über die AJAX-Funktion „wwlc_file_upload_handler“ lassen sich dadurch beliebige PHP-Dateien hochladen – inklusive fertiger Webshells, die dem Angreifer eine browserbasierte Oberfläche geben, um weitere Schadsoftware nachzuladen [TheHackerNews].
Was mich an solchen Fällen immer wieder erstaunt: Es braucht keinen Login, keine Rechte, keinen Umweg über Social Engineering. Eine einzige HTTP-Anfrage reicht.
Was du jetzt tun solltest
- Version prüfen: Wholesale Lead Capture auf mindestens 2.0.3.2 aktualisieren.
- Upload-Ordner (wp-content/uploads/) nach unbekannten .php-Dateien durchsuchen – vor allem nach Dateien mit ungewöhnlichen Namen oder auffälligem Änderungsdatum in den letzten Monaten [Infosecurity Magazine].
- Zugriffe auf /wp-admin/admin-ajax.php mit dem Parameter wwlc_file_upload_handler in den Server-Logs kontrollieren.
- Falls das Plugin nicht mehr aktiv genutzt wird: deinstallieren statt nur deaktivieren.
Ich rate grundsätzlich dazu, Plugins regelmäßig zu prüfen – auch die, die kaum jemand kennt. Genau diese „unwichtigen“ Erweiterungen werden gern übersehen, obwohl sie denselben Zugriff aufs System haben wie jedes andere Plugin auch.
Warum ein „kleines“ Plugin so ein großes Problem sein kann
6.000 Installationen klingen nach wenig, verglichen mit Millionen-Plugins wie Elementor oder WooCommerce selbst. Für einen Angreifer zählt aber nicht die Größe der Zielgruppe, sondern nur, ob eine automatisierte Suche eine ungepatchte Version findet. Solche Scans laufen dauerhaft im Hintergrund, unabhängig davon, wie bekannt ein Plugin ist.
Schonmal in der Plugin-Liste deiner Seite geschaut, welche davon eigentlich noch gebraucht werden?
Häufige Fragen
Ist mein Shop automatisch betroffen, wenn ich WooCommerce nutze?
Nein. Betroffen ist ausschließlich das Zusatz-Plugin „WooCommerce Wholesale Lead Capture“ von Rymera Web Co, nicht WooCommerce selbst.
Reicht ein Update, oder muss ich die Seite auch bereinigen?
Ein Update schließt nur die Lücke für die Zukunft. Wenn dein Shop zwischen Februar und heute mit einer alten Version online war, solltest du zusätzlich nach bereits hochgeladenen Schaddateien suchen – oder das im Zweifel prüfen lassen.
Woher weiß ich, welche Version ich installiert habe?
Im WordPress-Backend unter „Plugins“ wird die installierte Version direkt neben dem Plugin-Namen angezeigt.
Ich weiß, dass kaum jemand Zeit hat, jedes einzelne Plugin im Blick zu behalten – genau darum biete ich eine laufende WordPress-Wartung an, bei der solche Lücken auffallen, bevor sie zum Problem werden. Wer unsicher ist, ob ein Plugin auf der eigenen Seite betroffen ist, kann sich gern bei mir melden.