Normalerweise ist die Empfehlung bei einer neuen WordPress-Plugin-Lücke schnell erklärt: aktualisieren, fertig. Bei der Angriffswelle, die seit dem 4. Oktober 2026 läuft, reicht das allein leider nicht mehr aus. Sicherheitsforscher von Patchstack beobachten aktive Angriffe auf zwei beliebte Plugins – und wer betroffen ist, bekommt dabei einen Mitbewohner, den man im WordPress-Backend gar nicht sieht [Patchstack, 6.10.2026].
Welche Plugins betroffen sind
Zwei Lücken stehen im Mittelpunkt:
- Ninja Forms (bis Version 3.15.3, CVE-2026-94504) – über 500.000 aktive Installationen. Die Lücke steckt im Formular-Übersichtsbildschirm im Backend. Der Fix liegt in Version 3.15.4.
- WPC Product Bundles for WooCommerce (bis Version 8.6.6, CVE-2026-93836) – über 30.000 aktive Installationen. Der Fix liegt in Version 8.6.7.
Beide Lücken sind gespeicherte Cross-Site-Scripting-Schwachstellen (Stored XSS). Vereinfacht gesagt: Jemand kann über ein Formularfeld oder ein Produkt-Bundle Schadcode hinterlegen, der ausgeführt wird, sobald ein eingeloggter Administrator die entsprechende Backend-Seite öffnet [Patchstack, 6.10.2026].
Warum diese Lücke mehr ist als die übliche „Update jetzt“-Meldung
Der nachgeladene Code kommt von einem fremden Server (imgcdn1.com) und tut mehr, als nur zu stören. Er installiert ein als „WP Smart Thumbnails“ getarntes Plugin mit einem nicht abgesicherten Dateimanager, legt einen zusätzlichen Administrator-Zugang an und versteckt diesen über ein sogenanntes Must-Use-Plugin so, dass er in der normalen Benutzerliste gar nicht auftaucht. Dazu kommt ein Backdoor-Login über einen eigenen URL-Parameter, der sich als der älteste Administrator-Account der Seite anmeldet. Die eingeschleusten Dateien bekommen sogar ein zurückdatiertes Erstellungsdatum, damit sie beim Durchsehen nicht auffallen [Patchstack, 6.10.2026].
Das bedeutet in der Praxis: Nur das betroffene Plugin zu aktualisieren oder zu löschen, entfernt den Zugang der Angreifer nicht. Die Hintertür bleibt, auch wenn Ninja Forms oder WPC Product Bundles längst auf dem neuesten Stand sind. Ich sehe bei meinen eigenen Kunden regelmäßig nach versteckten Admin-Konten und Must-Use-Plugins – genau solche Fälle sind der Grund dafür, auch wenn ein Update auf den ersten Blick erledigt scheint.
Was du jetzt konkret tun solltest
- Ninja Forms auf Version 3.15.4 oder neuer aktualisieren.
- WPC Product Bundles for WooCommerce auf Version 8.6.7 oder neuer aktualisieren.
- Den Ordner
wp-content/mu-plugins/per FTP oder Datei-Manager des Hosters öffnen und auf unbekannte Dateien prüfen – Must-Use-Plugins laufen automatisch und tauchen im normalen Plugin-Bildschirm gar nicht auf. - Unter Benutzer → Alle Benutzer nachsehen, ob dort ein Administrator-Konto auftaucht, das du nicht angelegt hast. Vorsicht: Laut Patchstack ist genau dieses Konto hier bewusst versteckt – ein unauffälliger Blick reicht also nicht.
- In den WordPress-Optionen (z. B. über ein Datenbank-Tool wie phpMyAdmin) nach den Einträgen
fz_emer_done_v1undfz_emer_login_tokenssuchen und löschen, falls vorhanden. - Falls eine Kompromittierung bestätigt ist: alle Passwörter sowie die WordPress-Sicherheitsschlüssel (Secret Keys) in der
wp-config.phperneuern, auch wenn kein Passwort direkt gestohlen wurde [Patchstack, 6.10.2026].
Wer sich dabei unsicher fühlt oder lieber jemanden draufschauen lässt: Genau das ist der Kern meiner WordPress-Wartung – regelmäßige Kontrolle auf versteckte Admin-Konten und ungewöhnliche Dateien gehört standardmäßig dazu, nicht nur das reine Plugin-Update.
Kurzer Datenschutz-Hinweis
Wenn über das versteckte Administrator-Konto tatsächlich auf Kunden- oder Bestelldaten zugegriffen wurde, kann eine Meldepflicht entstehen – in Deutschland und Österreich über Art. 33 DSGVO an die jeweilige Datenschutzbehörde, in der Schweiz über Art. 24 revDSG an den EDÖB. Die Frist beträgt in der Regel 72 Stunden nach Kenntnisnahme. Das lässt sich nur beurteilen, wenn vorher überhaupt geklärt ist, ob und wie weit zugegriffen wurde.
Ähnliche Fälle zum Vergleich
Versteckte Admin-Konten über Must-Use-Plugins sind mittlerweile ein bekanntes Muster bei WordPress-Angriffen – ich habe hier zum Beispiel schon über den BdThemes-Angriff geschrieben, bei dem ebenfalls ein versteckter Administrator-Zugang über Must-Use-Plugins angelegt wurde. Der Unterschied: Dort lief der Angriff über eine kompromittierte Update-Infrastruktur, hier über zwei konkrete, inzwischen gepatchte Plugin-Lücken.
Häufige Fragen
Reicht es, Ninja Forms oder WPC Product Bundles einfach zu deinstallieren?
Nein. Wenn der Angriff bereits erfolgreich war, bleibt die Hintertür über das versteckte Must-Use-Plugin bestehen, auch nach dem Löschen des ursprünglich betroffenen Plugins.
Woran erkenne ich, ob meine Seite betroffen ist?
Prüfe den Ordner wp-content/mu-plugins/ auf unbekannte Dateien, die Benutzerliste auf unbekannte Administratoren und – falls möglich – die Datenbank-Optionen auf die oben genannten Einträge. Ein professioneller Malware-Scan gibt zusätzliche Sicherheit.
Betrifft das nur Shops, die WooCommerce nutzen?
Nein. Die Ninja-Forms-Lücke betrifft jede Website mit diesem Formular-Plugin, unabhängig von WooCommerce. WPC Product Bundles betrifft gezielt WooCommerce-Shops, die dieses Bundle-Plugin einsetzen.
Wer bei sich unsicher ist, ob eine der beiden Lücken schon ausgenutzt wurde, kann sich gerne bei mir melden – ich schaue mir das gemeinsam mit dir an.
