Kritische Schwachstellen im Events Calendar gefährden mehr als 200.000 WordPress-Websites

Zwei kritische Schwachstellen im Plugin The Events Calendar von StellarWP ermöglichen nicht authentifizierten Angreifern, Code auszuführen und betroffene WordPress-Installationen zu übernehmen.

Das Plugin verfügt über mehr als 600.000 aktive Installationen. Auf etwa 240.000 Websites liefen Versionen vor 6.17, sodass sie bei beiden Schwachstellen in den betroffenen Versionsbereich fielen. Die Ausnutzung hängt jedoch von der Konfiguration kommentarbezogener Funktionen ab, weshalb die genaue Zahl ausnutzbarer Websites unklar ist.

Beide Schwachstellen haben einen CVSS-Score von 9,8. Administratoren sollten The Events Calendar auf Version 6.17.4.1 oder höher aktualisieren, da die beiden Probleme in getrennten Releases behoben wurden.

Zwei unabhängige Wege zur Remote-Code-Ausführung

Die Schwachstellen betreffen unterschiedliche Teile des Plugins und nutzen voneinander getrennte Angriffswege:

• CVE-2026-78159 ist eine Code-Injection-Schwachstelle in der Funktion parse_array.
• CVE-2026-78006 ist eine PHP-Object-Injection-Schwachstelle im Zusammenhang mit is_safe_widget_instance.

Beide Schwachstellen lassen sich aus der Ferne ohne Authentifizierung, Berechtigungen oder Interaktion eines Benutzers ausnutzen. Sie weisen den folgenden CVSS-3.1-Vektor auf:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Diese Bewertung beschreibt über das Netzwerk erreichbare Schwachstellen mit geringer Angriffskomplexität und potenziell schwerwiegenden Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Eine erfolgreiche Ausnutzung kann daher weit über die Veränderung von Seiteninhalten hinausgehen: Sie kann zur serverseitigen Codeausführung und zur vollständigen Kompromittierung der WordPress-Installation führen.

Die Schwachstellen sind unterschiedlichen Kategorien zugeordnet. CVE-2026-78159 wird als CWE-94 geführt und betrifft die unzureichende Kontrolle über generierten Code. CVE-2026-78006 ist als CWE-502 klassifiziert und betrifft die Deserialisierung nicht vertrauenswürdiger Daten.

In den verfügbaren Informationen gibt es keine bestätigten Hinweise auf laufende Ausnutzung, Angreiferinfrastruktur, öffentliche Exploit-Indikatoren oder eine Malware-Kampagne. Auch ein Eintrag im CISA-Katalog der bekannten ausgenutzten Schwachstellen und eine Frist zur Behebung sind nicht bekannt.

CVE-2026-78159 umgeht Prüfungen mit einem einfachen Array

CVE-2026-78159 entsteht durch eine unzureichende Validierung der classes-Map des Widgets. Der anfällige Code befindet sich in Element_Classes::parse_array().

Das Plugin versucht zu prüfen, ob eine Widget-Instanz sicher ist. Ein Angreifer kann jedoch eine als einfaches Array strukturierte Nutzlast übermitteln und dadurch die objektorientierte Prüfung durch is_safe_widget_instance() umgehen. Die Nutzlast kann anschließend einen Aufruf-Sink innerhalb von parse_array erreichen, an dem vom Angreifer kontrollierte Daten als ausführbares Verhalten interpretiert werden können.

Die Verarbeitung erfolgt, während The Events Calendar das HTML für einzelne Veranstaltungen rendert, einschließlich des Kommentarbereichs der Seite. Für die Ausnutzung müssen Kommentare bei tribe_events-Beiträgen aktiviert sein. Außerdem muss mindestens ein Kommentar eine zusätzliche Bedingung erfüllen, die in der verfügbaren technischen Beschreibung nicht öffentlich erläutert wurde.

Diese Abhängigkeit begrenzt die angreifbare Oberfläche, setzt aber nicht voraus, dass der bösartige Kommentator über ein WordPress-Konto verfügt. Bei entsprechender Konfiguration bleibt der Angriff nicht authentifiziert.

Die NVD führt Versionen bis einschließlich 6.17.3 als anfällig. StellarWP behob das Problem in Version 6.17.3.1, die am 25. August veröffentlicht wurde.

Die alleinige Installation dieses Releases reicht inzwischen nicht mehr aus. Es behebt CVE-2026-78159, lässt den zweiten Weg zur Remote-Code-Ausführung jedoch offen.

CVE-2026-78006 nutzt das Deserialisierungsverhalten von PHP aus

CVE-2026-78006 betrifft is_safe_widget_instance, also genau jene Schutzmaßnahme, die die erste Schwachstelle durch die Übergabe eines einfachen Arrays umgehen kann. In diesem Fall hebelt der Angreifer die Schutzmaßnahme direkt durch PHP-Object-Injection aus.

PHP kann Magic Methods aufrufen, während Daten vorbereitet und interpretiert werden, noch bevor die vorgesehene Validierungssequenz des Plugins abgeschlossen ist. Der anfällige Ablauf ermöglicht es enable_rendering_widget_copied(), noch vor dem Aufruf von unserialize() ein scheinbar legitimes Integritätsattribut wp_hash zu erzeugen.

Dieser gefälschte Integritätswert lässt manipulierte serialisierte Daten eine Prüfung passieren, die vertrauenswürdige Widget-Inhalte erkennen soll. Sobald die Daten deserialisiert werden, kann ein Angreifer eine Object-Injection-Kette auslösen, die Codeausführung auf dem Server ermöglicht.

Kommentare in Veranstaltungsinhalten müssen aktiviert und sichtbar sein, damit sich dieser Angriffsweg ausnutzen lässt. Entscheidend ist jedoch, dass die schädlichen Daten die anfällige Funktion erreichen, bevor die Moderation oder Freigabe von WordPress-Kommentaren sie blockieren kann. Die Freigabe neuer Kommentare verhindert die Ausnutzung daher nicht automatisch.

Die NVD stuft alle Versionen bis einschließlich 6.17.4 als betroffen ein. StellarWP behob die Schwachstelle in Version 6.17.4.1, die am 10. September veröffentlicht wurde.

Versionsunterschiede sorgen für eine Update-Falle

Die beiden Patch-Stände sind leicht zu verwechseln, da sie sich nur in der letzten Versionskomponente unterscheiden.

Schwachstelle	Betroffene Versionen	Erste behobene Version
CVE-2026-78159	Bis einschließlich 6.17.3	6.17.3.1
CVE-2026-78006	Bis einschließlich 6.17.4	6.17.4.1

Eine Website mit Version 6.17.3.1 ist vor CVE-2026-78159 geschützt, bleibt aber gegenüber CVE-2026-78006 anfällig. Administratoren sollten 6.17.4.1 daher als mindestens erforderliche sichere Version betrachten, die beide Schwachstellen abdeckt.

Das ist besonders für Umgebungen relevant, in denen Updates schrittweise ausgerollt oder fest vorgegeben statt automatisch installiert werden. Die bloße Bestätigung, dass das Plugin ein Sicherheitsupdate vom 25. August erhalten hat, belegt nicht, dass die Installation vor der später behobenen Object-Injection-Schwachstelle geschützt ist.

Organisationen sollten jede WordPress-Instanz erfassen, darunter Entwicklungswebsites, Microsites für Veranstaltungen, ungenutzte Installationen und Kopien unter sekundären Domains. Für jede Installation muss die tatsächlich installierte Plugin-Version direkt überprüft werden.

Das Risiko hängt von Versionen und Kommentareinstellungen ab

SecurityWeek schätzt, dass mehr als 200.000 WordPress-Websites durch eine Übernahme gefährdet sein könnten. Nutzungsdaten zeigen außerdem, dass auf etwa 240.000 Websites Versionen vor 6.17 liefen, die in beide betroffenen Versionsbereiche fallen.

Diese Zahlen bedeuten nicht, dass jede veraltete Installation sofort kompromittiert werden kann. Beide Angriffswege setzen voraus, dass Kommentare in der jeweiligen Konfiguration von The Events Calendar aktiviert sind. CVE-2026-78159 steht insbesondere mit Kommentaren in tribe_events-Beiträgen in Verbindung.

Das Plugin wurde zwischen dem 10. und 14. September etwas mehr als 300.000 Mal heruntergeladen. Verglichen mit einer Basis von mehr als 600.000 aktiven Installationen deutet diese Zahl darauf hin, dass etwa die Hälfte der Installationen das Update für CVE-2026-78006 möglicherweise noch nicht erhalten hat. Downloadzahlen können jedoch weder bestätigen, dass ein Update erfolgreich installiert wurde, noch ob die erforderlichen Kommentareinstellungen aktiv sind.

Das Ergebnis ist ein großes, aber nicht präzise bestimmbares Gefährdungsfenster. Die Versions-Telemetrie erfasst veraltete Software, während die tatsächliche Ausnutzbarkeit zusätzlich von der Website-Konfiguration und dem Zustand der Inhalte abhängt.

Administratoren sollten patchen und betroffene Systeme untersuchen

Die wichtigste Maßnahme besteht darin, The Events Calendar auf Version 6.17.4.1 oder höher zu aktualisieren. Anschließend sollten Administratoren die installierte Version in jeder WordPress-Umgebung überprüfen, statt sich ausschließlich auf zentrale Update-Benachrichtigungen zu verlassen.

Bis das Patchen abgeschlossen ist, können Betreiber prüfen, ob Kommentare für Veranstaltungsinhalte aktiviert sind. Eine Deaktivierung kann eine bekannte Voraussetzung beseitigen, wurde vom Hersteller jedoch nicht als formaler Ersatz für die Installation der korrigierten Version dargestellt.

Sicherheitsteams sollten WordPress-, PHP- und Webserver-Logs auf ungewöhnliche Aktivitäten untersuchen, darunter:

• Kommentare, die zu Veranstaltungsbeiträgen übermittelt wurden.
• Fehlerhafte Widget-Arrays oder unerwartete classes-Daten.
• Serialisierte PHP-Objekte in eingehenden Anfragen.
• Anfragen, die versuchen, Code zur Darstellung von Veranstaltungen oder zur Verarbeitung von Widgets zu erreichen.
• Neue Administratorkonten oder nicht erklärbare Änderungen an Berechtigungen.
• Veränderte Plugins, Themes oder Core-Dateien.
• Unerwartete geplante Tasks, serverseitige Skripte oder ausgehende Verbindungen.

Derzeit sind keine spezifischen Exploit-Strings oder verlässlichen Indicators of Compromise verfügbar. Die Erkennung muss sich daher auf die Analyse des Verhaltens stützen und kann nicht lediglich nach einer veröffentlichten Signatur suchen.

Wenn auf einer Website, auf der eine betroffene Version mit aktivierten Veranstaltungskommentaren lief, verdächtige Aktivitäten festgestellt werden, sollten Administratoren die gesamte WordPress-Installation als potenziell kompromittiert betrachten. Die Untersuchung sollte sich auch auf Zugangsdaten, Datenbankinhalte, Hosting-Konten, Serverdateien, Persistenzmechanismen und alle für den PHP-Prozess zugänglichen Geheimnisse erstrecken.