Advanced Custom Fields (ACF) strukturiert die Inhalte von mehr als 2 Millionen WordPress-Websites, und das CVE-Register ordnet ihm 18 Sicherheitslücken zu, die zwischen Januar 2020 und Anfang Juli 2026 veröffentlicht wurden. Keine ist kritisch, aber eine XSS von 2023 wurde schon am Tag nach ihrer Veröffentlichung angegriffen, und im Oktober 2024 erlebte das Plugin eine einmalige Episode: seine Übernahme durch WordPress.org im Namen der Sicherheit. Hier sind die Chronologie, die Lücken, auf die es ankommt, und die richtigen Einstellungen.
Advanced Custom Fields in Kürze
ACF ergänzt Inhalte, Benutzer oder Optionsseiten um benutzerdefinierte Felder (Text, Bild, Beziehung, Repeater...). Seit März 2011 auf wordpress.org veröffentlicht, gehörte das Plugin Delicious Brains, bevor es im Juni 2022 zusammen mit vier weiteren Plugins von WP Engine gekauft wurde. Es gibt eine kostenlose und eine kostenpflichtige Version, ACF Pro. Das offizielle Verzeichnis zeigt mehr als 2 Millionen aktive Installationen (wordpress.org).
Agenturen und Freelancer nutzen es als Grundlage für maßgeschneiderte Websites, mit Themes, die rund um get_field() und the_field() gebaut sind. ACF verarbeitet also Daten, die von allen Rollen eingegeben werden, und manchmal von anonymen Besuchern über seine öffentlichen Formulare (acf_form()). Und es lässt sich schwer entfernen: Das Theme hängt davon ab.
Chronologie der Lücken seit 2020
Wir haben die Sicherheitslücken in ACF (kostenlos und Pro) gezählt, die eine CVE-Kennung erhalten haben, anhand der Einträge im Register cve.org, für Meldungen, die vom 1. Januar 2020 bis zum 4. Juli 2026 veröffentlicht wurden: 18 Lücken, alle behoben. Hinzu kommt eine im Mai 2026 von WPScan ohne CVE veröffentlichte Lücke. WPScan und Patchstack lassen jeweils einige Lücken aus, insbesondere die über das japanische JPCERT gemeldeten.
| Veröffentlichung | Behoben in | Art | CVSS | CVE | Erforderliches Konto |
|---|---|---|---|---|---|
| 10. Juni 2020 (Patch) | 5.8.12 | XSS in Auswahllisten | 6,1 (NVD) | CVE-2020-36172 | Keins (Klick eines Opfers) |
| 2. Dezember 2021 | 5.11 | Drei fehlende Zugriffskontrollen | 6,5 bis 7,5 (NVD) | CVE-2021-20865, CVE-2021-20866, CVE-2021-20867 | Keins bis Abonnent, je nach Lücke |
| 30. März 2022 | 5.12.1 | Unberechtigter Zugriff auf Daten | 6,5 (NVD) | CVE-2022-23183 | Mitarbeiter |
| 25. Juli 2022 | 5.12.3 (betroffen: 5.0 bis 5.12.2) | Datei-Upload über ein öffentliches Formular | 8,8 (NVD) | CVE-2022-2594 | Keins |
| 18. Oktober 2022 | 6.0.3 (betroffen: 3.1.1 bis 6.0.2) | Offenlegung von Feldwerten | 3,7 (Patchstack), 7,5 (NVD) | CVE-2022-40696 | Keins laut Patchstack |
| 10. April 2023 | 5.12.5 und 6.1.0 (betroffen: 5.x vor 5.12.5, 6.x vor 6.1.0) | PHP-Objekt-Injection | 8,8 (NVD) | CVE-2023-1196 | Mitarbeiter |
| 5. Mai 2023 | 6.1.6 und 5.12.6 | Reflektierte XSS (dokumentierte Angriffsversuche) | 7,1 (Patchstack), 6,1 (NVD) | CVE-2023-30777 | Keins (Klick eines angemeldeten Benutzers) |
| 17. Januar 2024 | 6.2.5 | Gespeicherte XSS über den Shortcode | 6,4 (Wordfence), 5,4 (NVD) | CVE-2023-6701 | Mitarbeiter |
| 30. Mai 2024 | 6.3.0 | Lesen von Feldern über den Shortcode | 6,5 (NVD) | CVE-2024-4565 | Mitarbeiter |
| 9. Oktober 2024 | 6.3.8, verstärkt in 6.3.9 | Eingeschränkter Funktionsaufruf | 5,4 (Patchstack), 6,6 (CISA) | CVE-2024-9529 | Administrator |
| 15. Oktober 2024 | 6.3.9 (betroffen: vor 6.3.9, und Secure Custom Fields vor 6.3.6.3) | Gespeicherte XSS im Feldgruppen-Editor | 5,3 (CISA) | CVE-2024-49593 | Administrator |
| 14. April 2026 | 6.7.1 | Lesen privater Inhalte über AJAX | 5,3 (Wordfence) | CVE-2026-4812 | Keins (öffentliches Formular) |
| 27. Mai 2026 | 6.8.2 | Änderung von Feldern über ein öffentliches Formular | 5,3 (WPScan) | Keine | Keins |
| 30. Mai 2026 | 6.8.2 | Änderung von Titel und Inhalt von Beiträgen | 5,3 (Wordfence) | CVE-2026-8382 | Keins (öffentliches Formular) |
Die Daten sind die der ersten öffentlichen Meldung (für 2020 die des Patches). Der Wert ist der der Stelle, die die CVE vergeben hat, ersatzweise der von NVD oder CISA. Die meisten Lücken betrafen auch ACF Pro, das in denselben Versionen korrigiert wurde. Vier nicht in der Tabelle aufgeführte Lücken erforderten ein Administratorkonto oder Zugriff auf die Einstellungen von ACF: gespeicherte XSS oder HTML-Injections in Beschriftungen, behoben in 6.1.8 (2023), 6.3.6 und 6.3.9 (2024) sowie 6.4.3 (2025).
Die wichtigsten Lücken erklärt
Juli 2022: Datei-Uploads ohne Konto (CVE-2022-2594)
James Golovich (Pritect) entdeckte, dass die „einfachen“ Datei-Upload-Felder der öffentlichen ACF-Formulare seit der Neufassung in Version 5.0 nicht durch ein Sicherheitstoken (Nonce) geschützt waren. Auf einer Website mit einem solchen Formular konnte ein anonymer Besucher Dateien ablegen: kein PHP, das blockiert WordPress, aber jeden erlaubten Typ, laut dem Forscher nutzbar für einen späteren Angriff oder für Phishing. Hersteller am 11. Juli 2022 kontaktiert, Version 5.12.3 am 14. veröffentlicht, öffentliche Meldung am 25.: ein vorbildlicher Ablauf. NVD bewertet die Lücke mit 8,8.
April 2023: PHP-Objekt-Injection durch einen Mitarbeiter (CVE-2023-1196)
ACF deserialisierte bestimmte vom Benutzer kontrollierbare Daten. Ein Mitarbeiter-Konto konnte so ein PHP-Objekt einschleusen, was erst gefährlich wird, wenn ein anderes Plugin oder das Theme eine „Gadget-Kette“ liefert. Von Nguyen Huu Do über WPScan gemeldet, wird die Lücke von NVD mit 8,8 bewertet. Die Versionen 6.1.0 und 5.12.5, veröffentlicht am 3. und 4. April 2023, verbieten jetzt die Deserialisierung von Klassen. Den Mechanismus erklären wir in unserem Artikel über PHP-Objekt-Injection.
Mai 2023: die reflektierte XSS, in weniger als 48 Stunden angegriffen (CVE-2023-30777)
Rafie Muhammad von Patchstack stellte fest, dass der Parameter post_status der Feldgruppen-Ansicht nach einem bloßen sanitize_text_field zu den CSS-Klassen der Admin-Seite hinzugefügt wurde, was nicht genügt, weil WordPress diese Klassen ohne Maskierung ausgibt. Ein Angreifer ohne Konto konnte einen Link erstellen, der, von einem angemeldeten Administrator geöffnet, JavaScript in dessen Browser ausführte. Patchstack bewertet die Lücke mit 7,1, NVD mit 6,1. Diese Art von Angriff erklären wir in unserem Artikel über XSS-Lücken in WordPress.
Am 2. Mai 2023 gemeldet, wurde die Lücke am 4. Mai in 6.1.6 behoben, mit einem in 5.12.6 zurückportierten Patch, und Patchstack veröffentlichte seine Analyse mit einer Beispielanfrage am 5. Mai. Akamai beobachtete ab dem 6. Mai erhebliche Scan-Aktivität und Angriffsversuche, die Wort für Wort das Beispiel von Patchstack übernahmen, auf Websites aller Branchen. Akamai sagt nicht, ob Websites kompromittiert wurden, und Patchstack gab am 16. Mai an, bei seinen Kunden keine konkreten Versuche gesehen zu haben.
2024: der ACF-Shortcode und das Maskieren der Ausgaben
Der Shortcode [acf] war von 2022 bis 2024 der Schwachpunkt. Im Januar 2024 zeigten Francesco Carlucci und Wordfence, dass ein Mitarbeiter ohne das Recht unfiltered_html bösartiges HTML in einem Metadatum speichern und über diesen Shortcode anzeigen konnte (CVE-2023-6701, gemeldet am 12. Dezember 2023, behoben in 6.2.5 am 16. Januar 2024). Im Mai zeigte CVE-2024-4565, dass derselbe Shortcode die Felder jedes beliebigen Beitrags anzeigte, ohne die Rechte zu prüfen. Der Hersteller ging über den Patch hinaus: Shortcode seit 6.3.0 bei neuen Installationen standardmäßig deaktiviert, und für 6.2.7 angekündigtes Entfernen gefährlichen HTMLs durch the_field().
2026: die öffentlichen Formulare im Visier
Die drei Lücken von 2026 haben eines gemeinsam: Sie zielen auf die öffentlichen Formulare von ACF und erfordern kein Konto. Mit CVE-2026-4812, gemeldet von Fernando Mecozzi und am 14. April von Wordfence veröffentlicht, ließen sich über die AJAX-Anfragen der Felder Beziehung oder Objekt Informationen über Entwürfe und private Inhalte abrufen, unter Umgehung der eingestellten Beschränkungen. Der Patch in 6.7.1 war bereits am 3. März erschienen. Ende Mai veröffentlichte Sarawut Poolkhet zwei in 6.8.2 (26. Mai) behobene Lücken: Die eine erlaubte es, jedes Feld des mit dem Formular verknüpften Beitrags zu ändern, auch ein nicht angezeigtes, die andere, seinen Titel und Inhalt zu überschreiben (CVE-2026-8382). Alle sind mit 5,3 bewertet, treffen aber ohne Authentifizierung die Vertraulichkeit oder Integrität der Inhalte.
Oktober 2024: ACF von WordPress.org übernommen
Diese Episode vermischt Sicherheit und Rechtsstreit. Am 25. September 2024 verkündet Matt Mullenweg auf WordPress.org, dass WP Engine, mit dem er im Streit liegt, keinen kostenlosen Zugang mehr zu den Ressourcen der Website hat. Das ACF-Team kann nicht mehr im Verzeichnis veröffentlichen und richtet einen eigenen Update-Kanal ein.
Am 7. Oktober veröffentlicht ACF die Version 6.3.8, die eine vom Sicherheitsteam von Automattic gemeldete Lücke behebt (CVE-2024-9529): Ein Administrator konnte über die Callback-Funktionen der mit ACF erstellten Inhaltstypen und Taxonomien PHP-Funktionen ausführen lassen, insbesondere über den Import von Einstellungen. Der Hersteller beschreibt das als „unwahrscheinliches“ Szenario zwischen zwei Administratoren; Patchstack stuft sie mit niedriger Priorität ein, „wenig wahrscheinlich ausgenutzt“. ACF gibt an, eine Kopie des Patches an das Sicherheitsteam von WordPress.org übermittelt zu haben, das ihn als 6.3.6.1 veröffentlichte.
Am 12. Oktober kündigt WordPress.org im Namen seines Sicherheitsteams an, sich auf Punkt 18 der Verzeichnisregeln zu berufen, um einen Fork von ACF namens Secure Custom Fields (SCF) zu erstellen, nach eigener Aussage, um ein Sicherheitsproblem zu beheben und kommerzielle Anreize zu entfernen. Websites, die automatische Updates von WordPress.org erhalten, werden auf SCF umgestellt. Der Text spricht von einer „seltenen und ungewöhnlichen“ Situation, ausgelöst durch die Klagen von WP Engine. Das ACF-Team antwortet am selben Tag, dass noch nie ein aktiv entwickeltes Plugin seinem Urheber ohne dessen Zustimmung entzogen worden sei, bezeichnet diesen Code als „nicht genehmigt“ und fordert seine Nutzer auf, die 6.3.8 von seiner Website herunterzuladen.
Drei Tage später wurde dieselbe, Administratoren vorbehaltene gespeicherte XSS in beiden Zweigen behoben (CVE-2024-49593, ACF 6.3.9 und SCF 6.3.6.3): Ein Fork erbt auch die Lücken des ursprünglichen Codes. Am 10. Dezember 2024 ordnete ein Bundesgericht in Kalifornien vorläufig an, WP Engine den Zugang zu WordPress.org und die Kontrolle über die ACF-Seite zurückzugeben; Automattic sieht darin eine Maßnahme zur Wahrung des Status quo und führt das Verfahren fort. Mitte Dezember ging die Plugin-Seite an WP Engine zurück, während SCF unter eigenem Namen weiterläuft, veröffentlicht von WordPress.org.
Für einen Website-Betreiber lautet die Lehre nicht, Partei zu ergreifen, sondern zu wissen, woher deine Updates kommen: Im Oktober 2024 konnte ein automatisches Update ein Plugin durch ein anderes ersetzen. Prüfe, ob du ACF oder SCF nutzt und ob dieser Kanal dir die Patches tatsächlich liefert. Dieses Risiko des Vertriebskanals vertiefen wir in unserem Artikel über Angriffe auf die Lieferkette.
Was diese Geschichte zeigt
- Keine kritische Lücke, aber Lücken ohne Konto: Acht der neunzehn Lücken verlangen vom Angreifer kein Konto, ob er nun einen präparierten Link nutzt oder, in vier Fällen, ein öffentliches Formular.
- Die Zugriffskontrolle kehrt ständig wieder: Lesen von Daten, Feldern oder privaten Inhalten 2021, 2022, 2024 und 2026. Jede neue Art, Felder anzuzeigen (Shortcode, AJAX, Formular), musste nachträglich abgesichert werden.
- Die mittleren Rollen zählen: Vier Lücken erfordern nur ein Mitarbeiter-Konto. Beschränke diese Konten auf das Nötigste (siehe unseren Artikel über Rollen und minimale Rechte).
- Die Patches kommen schnell: drei Tage für den Datei-Upload 2022, zwei Tage für die XSS von 2023. Im April 2026 kam der Patch sechs Wochen vor der Meldung.
Um ACF einzuordnen, sieh dir unsere Chronologie der Lücken im WordPress-Core und unsere Analyse der Plugin-Lücken in Zahlen an.
So schützt du dich
- Aktualisiere: Jede Version ab 6.8.2 behebt alle Lücken der Tabelle.
- Aktiviere automatische Updates für ACF (automatische Plugin-Updates).
- Prüfe deine öffentlichen Formulare: Wenn du
acf_form()nutzt, beschränke die angezeigten Felder mit der Optionfieldsund entferne die, die nicht mehr gebraucht werden. Lass den Shortcode deaktiviert, wenn dein Theme ihn nicht nutzt. - Lösche unnötige Plugins, auch ein nicht mehr genutztes ACF oder SCF (aufgegebene Plugins).
- Ergänze eine Anwendungs-Firewall mit virtuellen Patches, um die Stunden nach einer Meldung abzudecken (Vergleich der WAF), und überwache die Sicherheitslücken deiner Plugins (Plugin-Lücken überwachen).
WP Masquerade Pro kann dir bei diesem letzten Punkt helfen. Es vergleicht täglich die Versionen deiner installierten Plugins und Themes mit der öffentlichen Datenbank WPVulnerability.net und schickt dir eine Lückenwarnung per E-Mail mit Schweregrad und korrigierter Version. Der Mitgliederbereich listet ausstehende Updates und verwundbare Websites auf (Überwachung deiner Websites). WP Masquerade warnt, es korrigiert keine Plugins und ist keine Firewall: Das Update bleibt dein entscheidender Schritt. Zur Ergänzung deiner Ausstattung sieh dir unsere Auswahl der besten Sicherheits-Plugins für WordPress an.
Das Wichtigste in Kürze
- 18 Lücken in ACF mit CVE vom 1. Januar 2020 bis zum 4. Juli 2026, keine kritische, alle behoben.
- Die XSS CVE-2023-30777 war weniger als 48 Stunden nach dem Patch Ziel von Angriffsversuchen.
- Empfohlene Mindestversion: 6.8.2; installiere die neueste.
- Die öffentlichen Formulare (
acf_form()) und der Shortcode sind die heiklen Punkte: Schränke sie ein. - Seit Oktober 2024 solltest du prüfen, ob du ACF oder Secure Custom Fields nutzt und woher deine Updates kommen.
Quellen
- WordPress.org: Plugin Advanced Custom Fields (ACF®) (externer Link, öffnet in neuem Tab)
- NVD: CVE-2022-2594 (22. August 2022) (externer Link, öffnet in neuem Tab)
- CVE.org: CVE-2023-30777 (10. Mai 2023) (externer Link, öffnet in neuem Tab)
- WordPress.org: WP Engine is banned from WordPress.org (25. September 2024) (externer Link, öffnet in neuem Tab)
Weitere herangezogene Quellen: weitere CVE-Einträge, offizielle Herstellerseiten, Veröffentlichungen von Sicherheitsforschern, Berichte der Fachpresse, Datenbanken von WPScan und Patchstack.
