Ein Zusatz-Plugin, das dein Divi-Theme komfortabler macht – und genau dieses Plugin öffnet jetzt ungefragt die Tür für Angreifer. Genau das ist mit Divi Ajax Filter passiert, einem kostenpflichtigen Erweiterungs-Plugin von Divi Engine für Divi-Websites mit Filterfunktionen bei WooCommerce-Produkten, Custom Post Types oder Blogbeiträgen.
Was ist passiert?
Am 3. September 2026 wurde CVE-2026-11613 veröffentlicht: eine Local-File-Inclusion-Lücke (LFI) mit CVSS-Score 9,8 – also „kritisch“, der höchsten Einstufung überhaupt [Wordfence, IONIX]. Betroffen sind alle Versionen von Divi Ajax Filter bis einschließlich 5.1.2. Der Fehler steckt im Parameter custom_loop_template: Setzt eine Anfrage loop_templates auf custom-template, übernimmt das Plugin den mitgelieferten Dateinamen ungeprüft und bindet ihn serverseitig als PHP-Datei ein.
Das Kritische daran: Die Anfrage braucht weder Login noch Interaktion einer echten Person. Ein präparierter AJAX-Request reicht – Angreifer können damit beliebige PHP-Dateien auf dem Server einbinden und ausführen lassen. Je nachdem, welche Dateien dort bereits liegen, reicht das im schlimmsten Fall bis zur vollständigen Übernahme der Website [IONIX, exploit-intel.com]. Gemeldet hat die Lücke die Sicherheitsforschung unter dem Kürzel h0xilo, der Hersteller hat mit Version 5.1.3 reagiert: Custom-Loop-Templates werden seither nur noch aus dem Templates-Ordner des Child-Themes geladen, beliebige Dateipfade sind blockiert.
Wer ist betroffen?
Divi Ajax Filter ist kein Gratis-Plugin aus dem offiziellen WordPress-Verzeichnis, sondern ein kostenpflichtiges Add-on von Divi Engine, das gezielt Divi-Nutzer:innen adressiert, die Live-Filter für Produkte, Beiträge oder eigene Post-Types brauchen. Eine belastbare Zahl an Installationen habe ich nirgends verlässlich gefunden – wer hier mit auffällig hohen Installationszahlen argumentiert, verwechselt das Plugin vermutlich mit einem gleichnamigen, aber anderen Gratis-Tool. Trotzdem: Divi selbst zählt zu den meistgenutzten Page-Buildern überhaupt, und wer als Agentur oder Shopbetreiber:in mit Divi arbeitet, hat öfter ein Zusatz-Plugin wie dieses im Einsatz, als man beim schnellen Blick ins Plugin-Verzeichnis vermutet.
Schonmal geprüft, ob Divi Ajax Filter bei dir oder bei deinen Kund:innen überhaupt aktiv ist? Wenn ja, ist als Nächstes wichtig, ob die Option für eigene Loop-Templates („custom loop template“) genutzt wird – nur dann greift die Lücke tatsächlich.
Was du jetzt tun solltest
- Version prüfen: Divi Ajax Filter auf 5.1.3 oder neuer aktualisieren.
- Ist ein Update gerade nicht möglich: Plugin vorübergehend deaktivieren, bis der Patch eingespielt ist.
- Serverseitig kontrollieren, ob unerwartete PHP-Dateien in Upload- oder Template-Verzeichnissen liegen – ein Indiz für bereits erfolgte Angriffsversuche.
- Logs auf ungewöhnliche AJAX-Requests mit Parametern wie
loop_templates=custom-templatedurchsehen.
Ich sehe bei Wartungskund:innen regelmäßig, dass genau solche kleineren Zusatz-Plugins – gekauft für eine einzelne Funktion, dann jahrelang nicht mehr angeschaut – zum größten Risiko werden. Nicht weil sie schlecht programmiert wären, sondern weil niemand sie im Blick behält. Wer sein Divi-Setup nicht selbst pflegt, dem biete ich an, das im Rahmen der WordPress-Wartung mit zu übernehmen – inklusive eines ehrlichen Blicks darauf, welche Plugins wirklich noch gebraucht werden.
FAQ
Nutze ich Divi Ajax Filter, ohne es zu wissen?
Eher unwahrscheinlich – es ist ein kostenpflichtiges Zusatzprodukt, das aktiv installiert und lizenziert werden muss, kein Bestandteil von Divi selbst. Im Zweifel im Plugin-Verzeichnis deiner WordPress-Installation nachsehen.
Reicht ein normales WordPress-Update, um die Lücke zu schließen?
Nein. Es handelt sich um eine Lücke im Plugin, nicht im WordPress-Core. Nur ein Update des Plugins selbst auf Version 5.1.3 oder neuer schließt sie.
Was, wenn ich Divi nutze, aber dieses Plugin nicht installiert habe?
Dann bist du von CVE-2026-11613 nicht betroffen. Trotzdem ein guter Anlass, einmal durchzugehen, welche Zusatz-Plugins tatsächlich noch aktiv gebraucht werden.
Quellen
- IONIX Threat Center: CVE-2026-11613 – Unauthenticated Local File Inclusion / RCE, Divi Ajax Filter (04.09.2026)
- exploit-intel.com: CVE-2026-11613, Divi Ajax Filter ≤ 5.1.2
- Wordfence Threat Intelligence: Vulnerability Advisories
Mehr zu laufender WordPress-Sicherheit und Wartung findest du auf meiner Seite zur WordPress-Wartung. Wenn du unsicher bist, ob eines deiner Plugins betroffen ist, kannst du mich einfach über die Kontaktseite erreichen.