Angreifer nutzen Schwachstelle in WooCommerce-Plugin zur Installation von PHP-Webshells aus

Bedrohungsakteure nutzen derzeit aktiv eine kritische Schwachstelle beim Datei-Upload in WooCommerce Wholesale Lead Capture aus, einem kostenpflichtigen WordPress-Plugin, das auf mehr als 6.000 Websites eingesetzt wird.

Die als CVE-2026-27540 geführte Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, beliebige Dateien auf einem verwundbaren Server abzulegen. Dazu können ausführbare PHP-Backdoors gehören, die dem Angreifer die Ausführung von Code aus der Ferne und potenziell die vollständige Kontrolle über die WordPress-Installation ermöglichen.

Wordfence hat seit Juni 2026 mehr als 100.000 Exploit-Versuche blockiert. In den 24 Stunden vor der Veröffentlichung registrierte der Anbieter 99 Versuche. Das deutet darauf hin, dass Scans und Angriffe weiterhin aktiv sind.

Der Bericht beschreibt außerdem zwei nicht authentifizierte Schwachstellen zur Codeausführung in The Events Calendar, einem weiteren WordPress-Plugin mit mehr als 600.000 Installationen. Für diese Schwachstellen stehen korrigierte Versionen zur Verfügung. Für WooCommerce Wholesale Lead Capture wurde jedoch bislang keine bestätigte korrigierte Version identifiziert.

Gefälschte Upload-Einstellungen ermöglichen das Einschleusen von PHP-Code

CVE-2026-27540 betrifft WooCommerce Wholesale Lead Capture bis einschließlich Version 2.0.3.1. Das Plugin wird von Rymera Web Co Pty Ltd entwickelt.

Betroffen ist die folgende WordPress-AJAX-Aktion:

wwlc_file_upload_handler

Der Handler prüft den Typ der hochgeladenen Datei nicht ausreichend. Ein Angreifer benötigt weder ein WordPress-Konto noch andere Berechtigungen, um die anfällige Funktion zu erreichen.

Bei den beobachteten Angriffen wird eine manipulierte Anfrage mit einem gefälschten Parameter file_settings gesendet. Dadurch akzeptiert der Server eine vom Angreifer kontrollierte Datei, die auch ausführbaren PHP-Code enthalten kann.

In der von Wordfence dokumentierten Kampagne trug die hochgeladene Nutzlast den Namen:

shell.php

Die Datei fungiert als über den Browser erreichbare Webshell. Sie zeigt Informationen über das kompromittierte System an und stellt ein Upload-Formular bereit, über das ein Angreifer weitere Dateien in der WordPress-Installation ablegen kann.

Diese erste Datei ist daher nicht zwangsläufig die endgültige Nutzlast. Angreifer können sie nutzen, um leistungsfähigere Backdoors einzuschleusen, Anwendungscode zu verändern, Konfigurationsgeheimnisse zu stehlen, Inhalte zu manipulieren oder zusätzliche Persistenzmechanismen einzurichten.

Die Schwachstelle ist als CWE-434 klassifiziert, also als uneingeschränkter Upload einer Datei mit gefährlichem Typ. Ihr CVSS-v3.1-Wert beträgt 9,0. Der Vektor lautet:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Der Vektor beschreibt einen über das Netzwerk erreichbaren Angriff, für den weder Berechtigungen noch eine Benutzerinteraktion erforderlich sind. Er weist eine hohe Angriffskomplexität, aber auch hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit aus. Die Kompromittierung überschreitet dabei eine Sicherheitsgrenze. Einige Berichte, die sich auf Wordfence beziehen, bewerten die Schwachstelle mit einem höheren Wert von 9,8.

Protokolle und Upload-Verzeichnisse liefern die eindeutigsten Hinweise

Administratoren sollten Webserver-, Reverse-Proxy-, Firewall- und WordPress-Protokolle nach Anfragen an folgende Ressource durchsuchen:

/wp-admin/admin-ajax.php

Der aussagekräftigste Hinweis auf Anfrageebene ist ein Aktionsparameter mit folgendem Inhalt:

wwlc_file_upload_handler

Eine Anfrage an diese Aktion allein beweist noch keine erfolgreiche Kompromittierung. Verteidiger sollten sie mit HTTP-Antwortcodes, Ereignissen zur Dateierstellung, PHP-Ausführung und nachfolgenden Anfragen an neu hochgeladene Ressourcen abgleichen.

Die folgenden Adressen wurden mit beobachteten Exploit-Versuchen in Verbindung gebracht:

92.241.13.213
31.59.129.150
2a0f:85c1:840:5389::1
92.241.13.140
23.137.105.214
23.180.120.140
104.194.9.138
187.75.114.36
114.10.43.203
37.114.144.209

Diese Indikatoren können retrospektive Suchen und eine vorübergehende Sperrung unterstützen. Sie sollten jedoch nicht als vollständige Liste der Angreifer betrachtet werden. Angriffe können von anderen Adressen ausgehen, auch von kompromittierter Infrastruktur.

Bei der Überprüfung des Dateisystems sollte der Fokus auf kürzlich erstellten oder veränderten .php-Dateien liegen, insbesondere in WordPress-Upload-Verzeichnissen, in denen ausführbarer Code normalerweise nicht zu erwarten ist. Verteidiger sollten gezielt nach shell.php suchen, aber berücksichtigen, dass Angreifer die Nutzlast umbenennen können.

Nützliche Ansatzpunkte für eine Korrelation sind Dateien, die zeitnah zu verdächtigen AJAX-Anfragen erstellt wurden, Zugriffe auf diese Dateien unmittelbar nach ihrer Erstellung, unerwartete ausgehende Verbindungen sowie PHP-Prozesse, die Systemprogramme starten.

Das Löschen der sichtbaren Shell reicht nicht aus. Sobald beliebiger PHP-Code ausgeführt wurde, kann der Angreifer Administratorkonten angelegt, Passwörter geändert, Plugins installiert, Themes verändert, geplante Aufgaben hinzugefügt oder an anderer Stelle weitere Backdoors platziert haben.

Keine bestätigte korrigierte Version von WooCommerce Wholesale Lead Capture bekannt

Eine korrigierte Version von WooCommerce Wholesale Lead Capture wurde bislang nicht identifiziert. Daher sollten alle Versionen bis einschließlich 2.0.3.1 als verwundbar betrachtet werden.

Administratoren sollten eine vom Anbieter korrigierte Version bereitstellen, sobald eine solche bestätigt wurde. Bis dahin sollten Websites das betroffene Plugin nach Möglichkeit deaktivieren und entfernen oder den externen Zugriff auf die anfällige Aktion mithilfe von Webserver- oder Web Application Firewall-Regeln verhindern.

Websites mit Anzeichen einer Ausnutzung sollten vor Beginn der Behebung isoliert werden. Incident-Responder sollten Web-, Anwendungs-, Authentifizierungs- und Dateisystemprotokolle sichern, bevor sie schädliche Dateien entfernen.

Die Wiederherstellung sollte je nach Einsatzumgebung eine Änderung der Zugangsdaten für WordPress, Hosting, Datenbank, FTP, SSH und das Control Panel umfassen. Teams sollten außerdem Administratorkonten, Ereignisse zum Zurücksetzen von Passwörtern, installierte Plugins, Änderungen an Themes, geplante Aufgaben, Startmechanismen und andere Orte überprüfen, die zur Aufrechterhaltung des Zugriffs dienen könnten.

Für CVE-2026-27540 ist kein Eintrag im CISA-Katalog Known Exploited Vulnerabilities und keine damit verbundene Frist für die Behebung durch Bundesbehörden bekannt. Das Fehlen eines KEV-Eintrags ändert nichts an den beobachteten Angriffsdaten: Wordfence hat bereits groß angelegten Angriffsverkehr gegen die Schwachstelle registriert.

The Events Calendar weist zwei separate kritische RCE-Angriffswege auf

Der gleiche Bericht behandelt zwei kritische Schwachstellen in The Events Calendar, das auf mehr als 600.000 WordPress-Websites installiert ist. Beide Schwachstellen lassen sich ohne Authentifizierung ausnutzen, verwenden jedoch unterschiedliche Wege durch die Widget-Rendering-Funktionalität des Plugins.

CVE-2026-78159 betrifft Versionen bis einschließlich 6.17.3 und wurde in Version 6.17.3.1 behoben. Die Schwachstelle hat einen CVSS-Wert von 9,8:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Die Schwachstelle entsteht durch eine unzureichende Validierung der classes-Map des Widgets in der Funktion parse_array. Eine Payload als einfaches Array kann eine Sicherheitsprüfung für Objekte umgehen und einen Pfad zur Ausführung aufrufbarer Funktionen in Element_Classes::parse_array() erreichen.

Die Schwachstelle ist als CWE-94 klassifiziert, also als unzureichende Kontrolle über die Codegenerierung. Die Angriffskette kann zu PHP Object Injection und letztlich zur Ausführung von Betriebssystembefehlen führen.

Für die Ausnutzung müssen Kommentare für Beiträge des Typs tribe_events aktiviert sein und mindestens eine relevante Kommentarbedingung erfüllt werden. Die vollständige Bedingung wurde in der verfügbaren technischen Beschreibung nicht offengelegt. Wordfence berichtete, dass die Vorschau ausstehender Kommentare die Angriffskette ohne Freigabe durch einen Moderator auslösen kann.

Die zweite Schwachstelle, CVE-2026-78006, betrifft Versionen bis einschließlich 6.17.4 und wurde in Version 6.17.4.1 behoben. Auch sie hat einen CVSS-Wert von 9,8 und verwendet denselben Vektor.

Diese Schwachstelle ist als CWE-502 klassifiziert, also als Deserialisierung nicht vertrauenswürdiger Daten. PHP-Magic-Methoden können während des Pre-Parsing ausgeführt werden. Gleichzeitig kann enable_rendering_widget_copied() einen gültigen wp_hash-Integritätswert erzeugen, bevor die Daten unserialize() erreichen. Dadurch kann ein Angreifer den vorgesehenen Schutz vor Object Injection umgehen.

Die daraus entstehende Fähigkeit, beliebige aufrufbare Funktionen auszuführen, kann zum Zurücksetzen des Passworts eines Administrators verwendet werden. Anschließend könnte sich ein Angreifer authentifizieren, ein schädliches Plugin hochladen und die vollständige Kontrolle über die Website übernehmen.

WordPress-Betreiber sollten Updates und Prüfungen auf eine Kompromittierung priorisieren

Nutzer von The Events Calendar sollten mindestens auf Version 6.17.4.1 aktualisieren. Dabei handelt es sich um die spätere der beiden korrigierten Versionen, die Websites schützt, die über die betroffenen Versionsbereiche gefährdet sind.

WooCommerce Wholesale Lead Capture stellt die schwierigere unmittelbare Entscheidung dar, da keine korrigierte Version bekannt ist. Betreiber von Version 2.0.3.1 oder älteren Versionen sollten das Plugin deaktivieren oder die anfällige AJAX-Route stark beschränken und gleichzeitig auf ein bestätigtes Anbieter-Update achten.

Bei allen drei Schwachstellen schließt das Patchen oder Deaktivieren der betroffenen Komponente lediglich den ursprünglichen Eintrittsweg. Jede Website mit verdächtigen Anfragen, unerwarteten PHP-Dateien, Änderungen an Administratorkonten oder nicht autorisierten Plugins sollte als potenziell kompromittierter Server behandelt und entsprechend untersucht werden.