Am 16. Oktober 2026 gab Wordfence bekannt, dass Angreifer die Sicherheitslücke CVE-2026-19949 in All-in-One WP Migration and Backup sondieren: 1.440 Anfragen gegen 881 WordPress-Websites, die erste am 10. September. Alle Websites, die noch auf Version 7.109 oder älter laufen, sind betroffen, und die Falle schnappt zu, wenn ein Administrator ein Archiv wiederherstellt. Hier liest du, was belegt ist, was nicht, wie du deine Website prüfst und was du vor deiner nächsten Migration tun solltest.
Was passiert ist
Die Lücke wurde am 14. August 2026 vom Forscher Jack Taylor über das Bug-Bounty-Programm von Wordfence gemeldet, das sie am Tag darauf an den Hersteller ServMask weitergab. Die Kunden von Wordfence Premium, Care und Response erhielten am 16. August eine Firewall-Regel, ServMask veröffentlichte am 20. August die korrigierte Version 7.110, und die CVE wurde am 25. August mit einem CVSS-Wert von 8,8 (hoch) veröffentlicht. Wordfence beschrieb den Mechanismus am 1. September um 17:26 Uhr (Pariser Zeit) in seinem Blog. Am Tag darauf stellte BleepingComputer fest, dass nur etwa 35 % der Installationen aktuell waren, also fast 3,25 Millionen Websites weiterhin verwundbar.
Anfang September wurde kein Angriff gemeldet: heise schrieb am 3. September, nichts deute darauf hin, dass sich Angreifer für die Lücke interessiert hätten, und SecurityWeek erwähnte keine Ausnutzung. Tech Times berichtete am selben Tag, dass SOCRadar ein öffentliches Repository mit einem Proof of Concept verzeichnete, ohne bestätigte Ausnutzung.
Am 16. Oktober um 17:20 Uhr veröffentlichte Wordfence ein kurzes Video, das noch am selben Abend in seinen Wochenbericht einfloss. Laut den Daten seiner Firewall erreichten Anfragen, die auf diese Lücke zielten, 881 verschiedene Websites. Die erste stammt vom 10. September, und elf Tage später kam noch Traffic an. Von 1.440 Anfragen trugen 1.422 eine speziell für dieses Plugin entwickelte Nutzlast. Die meisten versuchten, den geheimen Schlüssel des Plugins zu erbeuten, einige den Hash des Administrator-Passworts.
Sondiert heißt nicht gehackt
Wordfence spricht von „probing“, also von beobachteten Ausnutzungsversuchen, nicht von festgestellten Kompromittierungen. Am 21. Oktober haben weder Wordfence noch der Hersteller eine Zahl von durch diese Lücke gehackten Websites veröffentlicht, und CVE-2026-19949 steht nicht im Katalog der ausgenutzten Schwachstellen der CISA (KEV). Diese Zahlen stammen von der Firewall von Wordfence: Sie beschreiben nur die Websites, die sie schützt, nicht das gesamte Web.
Die Unterscheidung ist aus einem bestimmten Grund wichtig: Die abgelegte Nutzlast bewirkt nichts, solange kein Administrator einen Export mit anschließendem Import startet. Eine Website, die im September mit einer verwundbaren Version ins Visier genommen wurde, kann also manipulierte Daten in ihrer Datenbank behalten, die heute harmlos sind, aber bei einer Wiederherstellung mit Version 7.109 oder älter ausgelöst würden.
Wer betroffen ist
Das kostenlose Plugin All-in-One WP Migration and Backup hat mehr als 5 Millionen aktive Installationen (wordpress.org). Die Meldung von Wordfence betrifft nur dieses Plugin; die kostenpflichtigen Erweiterungen von ServMask (Unlimited, Google Drive, Dropbox...) nennt sie nicht. Der Angreifer braucht kein Konto, aber zwei Bedingungen müssen erfüllt sein: ein öffentlicher Beitrag, der Trackbacks annimmt, und ein Administrator, der die Website mit einer verwundbaren Version exportiert und dann importiert.
| Merkmal | Detail |
|---|---|
| Betroffene Versionen | 7.109 und alle früheren |
| Korrigierte Version | 7.110 (20. August 2026); neueste Version am 21. Oktober: 7.112 (7. Oktober 2026) |
| Kennung | CVE-2026-19949, SQL-Injection zweiter Ordnung (CWE-89) |
| CVSS-Wert | 8,8, hoch (Wordfence, CNA) |
| Konto nötig | Keines, um die Nutzlast abzulegen; ein Export und Import durch einen Administrator, um sie auszulösen |
| Schutz durch Wordfence | Firewall-Regel am 16. August (kostenpflichtige Angebote), am 15. September (kostenlose Version) |
| Beobachtete Aktivität | Sondierung von 881 Websites, 1.440 Anfragen, ab dem 10. September (Wordfence) |
| KEV-Katalog der CISA | Nicht gelistet |
Ein Detail für aufmerksame Leser: Der von Wordfence veröffentlichte CVSS-Vektor gibt niedrige Berechtigungen an (PR:L), während die Beschreibung von einem nicht authentifizierten Angreifer spricht. Der Wert 8,8 ergibt sich aus dieser Wahl. BleepingComputer weist außerdem darauf hin, dass eine deaktivierte verwundbare Version weniger Risiko birgt, aber wieder ausnutzbar wird, sobald man sie für eine Migration reaktiviert.
Wie der Angriff funktioniert
All-in-One WP Migration verpackt die Website in ein .wpress-Archiv, Datenbank inklusive. Beim Import schreibt das Plugin die Adressen und Tabellenpräfixe in jeder SQL-Anfrage des Archivs um. Um Zeichenketten zu erkennen, nutzt es einen regulären Ausdruck, der nur das Zeichen direkt vor einem Anführungszeichen betrachtet. Eine Zeichenkette, die mit einem Backslash (\) endet, täuscht ihn: Er glaubt, die Zeichenkette gehe weiter, zerschneidet sie falsch und schreibt sie dann unausgeglichen neu. Ein Teil des gespeicherten Textes wird so von Daten zu einem ausgeführten SQL-Befehl.
Um diesen Text zu platzieren, braucht der Angreifer kein Konto: Er schickt zwei Trackbacks an einen öffentlichen Beitrag, mit einem Blognamen, der auf einen Backslash endet, und einer Adresse, die die Nutzlast enthält. WordPress legt sie in der Kommentartabelle ab. Der erste dient dazu, die für einen Importschritt vorgesehene Zeit zu überschreiten, was eine Pause erzwingt; in diesem Moment schreibt das Plugin den echten geheimen Schlüssel (ai1wm_secret_key) zurück in die Datenbank. Der zweite kopiert diesen Schlüssel in den Kommentar und gibt ihn frei, wodurch er über die öffentliche REST-API der Kommentare lesbar wird.
Dieser Schlüssel ist aber die einzige Sperre der Import-Aktion, die ohne Anmeldung erreichbar ist. Mit ihm lässt der Angreifer ein manipuliertes Archiv importieren, das ein bösartiges „Must-Use“-Plugin enthält, das beim nächsten Seitenaufruf ausgeführt wird: Das ist Remote Code Execution und die Übernahme der Website. Die Version 7.110 korrigiert die Verarbeitung von Werten, die auf einen Backslash enden.
Deine Website prüfen
Wordfence hat weder IP-Adressen noch Dateinamen veröffentlicht. Die folgenden Punkte ergeben sich aus der beschriebenen Angriffskette. Beginne mit WP-CLI bei der installierten Version:
wp plugin list --name=all-in-one-wp-migration --fields=name,version,status
wp plugin verify-checksums all-in-one-wp-migrationWenn die Version 7.110 oder neuer ist und keine Wiederherstellung mit einer älteren Version erfolgte, konnte die Lücke auf diesem Weg nicht ausgelöst werden. Andernfalls mach weiter:
- Die Trackbacks: Liste sie mit
wp comment list --type=trackback --fields=comment_ID,comment_date,comment_author,comment_author_url,comment_approvedauf. Sei misstrauisch bei einem Namen, der auf\endet, oder einer Adresse voller SQL-Fragmente. - Ein im Kommentar veröffentlichter Schlüssel:
wp comment list --search="$(wp option get ai1wm_secret_key)" --fields=comment_ID,comment_date,comment_approveddarf nichts zurückgeben. - Die „Must-Use“-Plugins:
wp plugin list --status=must-useund der Inhalt vonwp-content/mu-plugins/. Jede Datei, die du nicht kennst, ist verdächtig. - Die Administratoren:
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered. - Die neueren PHP-Dateien:
find wp-content -name "*.php" -newermt "2026-09-10" -type f, dannwp core verify-checksumsfür den Core. - Die Serverprotokolle: Aufrufe von
admin-ajax.phpmitaction=ai1wm_import, obwohl du keinen Import gestartet hast (dieser Parameter erscheint nur, wenn er in der Adresse steht), und Trackbacks in Serie.
Um zu wissen, ob deine Website Trackbacks für neue Beiträge annimmt, gibt wp option get default_ping_status open oder closed zurück; jeder Beitrag behält seine eigene Einstellung.
Was du jetzt tun solltest
- Aktualisiere mindestens auf 7.110, idealerweise auf die neueste Version (7.112 am 21. Oktober), vor jedem neuen Import. Das ist die Empfehlung von Wordfence.
- Deaktiviere das Plugin zwischen zwei Migrationen auf Websites, die es nur gelegentlich nutzen, und lösche
.wpress-Archive, die auf dem Server herumliegen. - Räume verdächtige Trackbacks auf und schließe sie, wenn du sie nicht brauchst (Einstellungen, Diskussion).
- Bei Zweifeln am Schlüssel: Im Code der Version 7.112 erzeugt das Plugin einen neuen Zufallsschlüssel, wenn die Option fehlt;
wp option delete ai1wm_secret_keyerzwingt also eine Erneuerung. ServMask hat dazu kein offizielles Verfahren veröffentlicht. - Wenn eine Wiederherstellung mit einer verwundbaren Version stattfand und einer der obigen Hinweise auftaucht: Ändere die Passwörter der Administratoren (manche Nutzlasten zielten auf ihren Hash), widerrufe die Anwendungspasswörter, erneuere die Salts in
wp-config.php(wp config shuffle-salts), scanne die Website und stelle ein sauberes Backup wieder her. Unsere Anleitung zur Bereinigung einer gehackten WordPress-Website beschreibt jeden Schritt.
Das Risiko beim nächsten Mal verringern
Der Patch existierte seit dem 20. August, drei Wochen vor der ersten Sondierungsanfrage. Die angegriffenen und verwundbaren Websites blieben es also mangels Update. Ein paar Reflexe verkürzen dieses Zeitfenster:
- die automatischen Plugin-Updates aktivieren, zumindest für Sicherheitsversionen;
- Warnungen zu Sicherheitslücken erhalten und die ausstehenden Updates auf all deinen Websites verfolgen, nicht nur auf der wichtigsten;
- die Zahl der Administratoren begrenzen, da der Import dieser Rolle vorbehalten ist (Prinzip der minimalen Rechte);
- getestete Backups außerhalb des Servers aufbewahren;
- eine Anwendungs-Firewall mit virtuellen Patches ergänzen: Die Regel von Wordfence existierte schon ab dem 16. August (Vergleich der WAF).
WP Masquerade Pro kann bei der Überwachung helfen, ohne das Update zu ersetzen. Die Warnungen zu Sicherheitslücken vergleichen täglich die installierten Versionen der Plugins von wordpress.org mit der öffentlichen Datenbank WPVulnerability.net und benachrichtigen per E-Mail: Eine Version 7.109 von All-in-One WP Migration wird dort gemeldet, sobald die Datenbank die Lücke führt. Das Aktivitätsprotokoll zeichnet ab seiner Aktivierung das Anlegen eines Administrators oder die Aktivierung eines Plugins auf, sieht aber keine Datei, die direkt in mu-plugins abgelegt wird. Die Integritätsprüfung betrifft nur die Core-Dateien von WordPress. Der Mitgliederbereich bündelt die ausstehenden Updates und verwundbaren Websites all deiner Websites. Es warnt, es behebt nichts und ist keine Firewall. Zum Kontext: hier ist die vollständige Geschichte der Sicherheitslücken in All-in-One WP Migration.
Das Wichtigste in Kürze
- CVE-2026-19949 (8,8) betrifft All-in-One WP Migration bis 7.109; behoben in 7.110 am 20. August 2026.
- Wordfence beobachtete ab dem 10. September 1.440 Sondierungsanfragen auf 881 Websites; am 21. Oktober wurde keine Zahl gehackter Websites öffentlich genannt.
- Die Nutzlast, ohne Konto per Trackback abgelegt, wird erst beim Import eines Archivs durch einen Administrator ausgeführt.
- Aktualisiere vor jeder Wiederherstellung, prüfe Trackbacks, freigegebene Kommentare und den Ordner
mu-plugins.
Quellen
- NVD: CVE-2026-19949 (25. August 2026) (externer Link, öffnet in neuem Tab)
- CISA: Known Exploited Vulnerabilities Catalog (laufend aktualisierter Katalog) (externer Link, öffnet in neuem Tab)
- wordpress.org: All-in-One WP Migration and Backup, Änderungsprotokoll (Version 7.110 vom 20. August 2026) (externer Link, öffnet in neuem Tab)
Weitere herangezogene Quellen: Berichte der Fachpresse und Datenbank von Wordfence.
