CVE-2026-82222: Die kritische Schwachstelle in GiveWP, die WordPress der Ausführung beliebiger Befehle aussetzt

Das WordPress-Plugin GiveWP, das von über 100.000 Websites zur Verwaltung von Spenden und Fundraising-Kampagnen eingesetzt wird, enthält eine Schwachstelle mit maximalem Schweregrad. Sie ist als CVE-2026-82222 identifiziert und ermöglicht einem nicht authentifizierten Angreifer die Ausführung beliebiger Befehle auf dem Server, der die Website hostet. Die Schwachstelle wurde am 28. Juli 2026 vom Forscher Udin Chan über die Vulnerability-Intelligence-Plattform Patchstack gemeldet. Der Anbieter hat am 27. August 2026 mit Version 4.16.7.2 einen Fix veröffentlicht.

So funktioniert der Angriff Schritt für Schritt

Die Ausnutzung der Schwachstelle erfordert die Verkettung von drei separaten Problemen innerhalb des Plugins. Das erste ist ein unsicherer Helper zum Deserialisieren von PHP-Daten. Das zweite ist der Verarbeitungsablauf für Spenden, der vom Angreifer kontrollierte, serialisierte Objekte speichert. Das dritte ist eine Gadget-Chain, eine Abfolge von Klassen und Methoden in den im Plugin enthaltenen Bibliotheken, die beliebige Systembefehle aufrufen kann.

Um das Risiko zu verstehen, ist es hilfreich zu klären, was Deserialisierung von PHP-Daten bedeutet. Serialisierung verwandelt ein Objekt in eine Zeichenkette, die gespeichert oder übertragen werden kann. Deserialisierung geht den umgekehrten Weg: Sie rekonstruiert das Objekt aus der Zeichenkette. Wenn eine Anwendung vom Benutzer bereitgestellte Daten ohne angemessene Prüfungen deserialisiert, kann ein Angreifer die Zeichenkette manipulieren, um die Ausführung von Code auszulösen. In GiveWP nutzt der Angreifer diese Schwäche, um eine einfache Spende in eine Befehlsausführung zu verwandeln.

Der Angriff beginnt mit der Erstellung eines Kontos auf der Website. GiveWP stellt eine nicht authentifizierte Registrierungsaktion bereit, die über den Parameter give_action=user_register erreichbar ist. Diese Aktion prüft niemals die WordPress-Option users_can_register. Selbst wenn der Administrator die öffentliche Registrierung deaktiviert hat, kann ein Angreifer ein Konto erstellen und ein Authentifizierungs-Cookie erhalten.

Nach der Authentifizierung speichert der Angreifer ein bösartiges serialisiertes Objekt in seinem eigenen Profil. Anschließend sendet er eine manipulierte Spende, die das Gadget in die Sitzungsdatenbank des Plugins, die Tabelle wp_give_sessions, schreiben lässt. Der Server antwortet mit einem HTTP-500-Fehler, aber die Nutzlast ist bereits gespeichert. Ab diesem Punkt genügt es, eine beliebige Frontend-Seite mit dem Authentifizierungs-Cookie anzufordern: Der Server deserialisiert das Gadget und führt den Befehl aus.

Betroffene Versionen und Ausnutzungsbedingungen

Die Schwachstelle betrifft GiveWP bis einschließlich Version 4.16.7.1. Die Versionen 4.16.6, 4.16.7 und 4.16.7.1 bleiben anfällig. Die tatsächliche Ausnutzung erfordert jedoch, dass die Website ein Legacy-Spendenformular ohne die Einstellung formBuilderSettings enthält. Dieser Zustand kann bei aktualisierten Installationen, bei Websites, die den optionenbasierten Editor verwenden, oder nach dem Import oder der Wiederherstellung älterer Formulare auftreten.

Die Behebung wurde mit Version 4.16.7.2 eingeführt, die am 27. August 2026 veröffentlicht wurde. Das Update blockiert serialisierte Daten während der Spendenverarbeitung, schränkt die Objekterstellung an verschiedenen Deserialisierungspunkten ein und entfernt bereits in kompromittierten Datenbanken vorhandene serialisierte Nutzlasten. Dieser letzte Punkt ist wichtig: Wer bereits einen Ausnutzungsversuch erlebt hat, findet die Nutzlasten nach dem Update entfernt.

Ein maximaler CVSS-Score

Die Schwachstelle hat einen CVSS-Score von 10 von 10 erhalten, das maximal Mögliche. Der CVSS-3.1-Vektor lautet AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Das bedeutet: Angriff über das Netzwerk, geringe Komplexität, keine erforderlichen Privilegien, keine Benutzerinteraktion, Auswirkungen auf alle Komponenten in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit. Dieser Score spiegelt die extreme Schwere der Schwachstelle wider: Einmal ausgenutzt, ermöglicht sie die vollständige Kompromittierung des Servers.

Risiken für Websites, Spender und Hosting-Dienste

Ein erfolgreicher Angriff ermöglicht die Ausführung beliebiger Befehle auf dem Hosting-Server. Die Folgen umfassen Datendiebstahl, Manipulation der Website, Installation von Backdoors für dauerhaften Zugriff sowie Zugriff auf sensible Informationen von Spendern und Nutzern. Die Datenbank einer GiveWP-Website kann Namen, E-Mail-Adressen und Spendenhistorien enthalten.

Das Risiko ist nicht theoretisch. In der Vergangenheit haben Angreifer GiveWP ins Visier genommen, um indirekt Pi-hole, einen bekannten netzwerkweiten Werbeblocker, zu kompromittieren. Bei diesem Vorfall wurden Namen und E-Mail-Adressen von 30.000 Spendern offengelegt. Die neue Schwachstelle könnte, wenn sie in großem Umfang ausgenutzt wird, zu ähnlichen oder noch schlimmeren Folgen führen, insbesondere auf gemeinsam genutzten Servern, auf denen mehrere Websites auf demselben Host liegen. Ein einziges auf einer anfälligen Website erstelltes Konto könnte zum Einfallstor für die gesamte Hosting-Umgebung werden.

Sofortmaßnahmen für Administratoren

Administratoren von WordPress-Websites, die GiveWP verwenden, müssen sofort auf Version 4.16.7.2 oder höher aktualisieren. Das Update behebt nicht nur die Schwachstelle, sondern entfernt auch bereits in kompromittierten Datenbanken gespeicherte serialisierte Nutzlasten. Über das Update hinaus sind keine weiteren spezifischen Gegenmaßnahmen angegeben.

Nach dem Update ist es ratsam zu überprüfen, ob auf der Website verdächtige Konten erstellt wurden, und die Server-Logs auf ungewöhnlich ausgeführte Befehle zu kontrollieren. In Umgebungen mit vielen WordPress-Websites sollte das Update schnell geplant werden, um zu verhindern, dass ein einzelnes Legacy-Formular zum Einstiegspunkt wird.

Das verbleibende Problem der offenen Registrierung

Nach dem Patch respektiert die nicht authentifizierte Registrierungsaktion weiterhin nicht die WordPress-Registrierungseinstellungen. Sie lässt sich jedoch nicht mehr für die Ausführung von Code ausnutzen. Sie bleibt eine potenzielle Angriffsfläche für andere Missbräuche, wie die Erstellung von Spam-Konten oder Versuche der Rechteausweitung, stellt aber derzeit kein Risiko der Befehlsausführung dar. Die Entwickler von GiveWP sollten dieses Verhalten in zukünftigen Versionen an die Standardeinstellungen von WordPress angleichen.