Sechs verkettete Schwachstellen im WordPress-Theme Avada ermöglichen vollständige Kontrolle über die Website

Das Theme Avada von ThemeFusion, eines der meistverbreiteten WordPress-Themes mit über einer Million Verkäufen, wurde für eine Kette von sechs Schwachstellen gepatcht, die ein nicht authentifizierter Angreifer ausnutzen kann, um beliebigen PHP-Code auf dem Server auszuführen – ohne jegliche Interaktion durch den Administrator. Die als CVE-2026-18431 identifizierte Schwachstelle mit einem CVSS-Score von 9,8 wurde am 26. August 2026 öffentlich bekannt gegeben.

Was ist passiert und wann

Das Threat-Intelligence-Team von Wordfence (Defiant) entdeckte die Schwachstellenkette und teilte ThemeFusion die vollständigen Details am 5. August mit. Der Hersteller bestätigte den Bericht am 10. August. Die Korrekturen wurden am 25. August veröffentlicht, einen Tag vor der Veröffentlichung der Details. ThemeFusion aktualisierte das Avada-Theme auf Version 7.16.1 und das Fusion-Builder-Plugin auf Version 3.16.1.

Die Entdeckung geht auf den 30. Juli zurück, als das interne agentische Framework Argus die Schwachstelle identifizierte und erfolgreich reproduzierte. Der Proof-of-Concept wurde in etwa zwei Stunden entwickelt.

Betroffene Komponenten und genaue Versionen

Die Schwachstelle betrifft zwei Produkte desselben Herstellers, die beide aktiv und verwundbar sein müssen, damit der Angriff erfolgreich ist:

• Avada-Theme – Versionen bis einschließlich 7.16.
• Fusion-Builder-Plugin – Versionen bis einschließlich 3.16.

Die korrigierten Versionen sind 7.16.1 für das Theme und 3.16.1 für das Plugin. Wer Avada ohne Fusion Builder einsetzt oder neuere Versionen einer der beiden Komponenten verwendet, ist dieser spezifischen Kette nicht ausgesetzt.

Wie die Angriffskette funktioniert

Der Zero-Click-Angriff kombiniert sechs unterschiedliche Sicherheitsprobleme, die Wordfence in einer Übersicht beschrieben hat, ohne vollständige technische Details preiszugeben, um Administratoren Zeit für Updates zu geben. Die gemeldete Abfolge ist wie folgt:

1. Ein öffentlicher Endpunkt legt eine vom Benutzer kontrollierte Eingabe offen.
2. Die Eingabe wird an Funktionen weitergeleitet, die eigentlich anonymen Benutzern vorbehalten sein sollten.
3. Eine privilegierte Komponente wird außerhalb ihres vorgesehenen Kontexts aufgerufen.
4. Die Anfragedaten verändern einen als vertrauenswürdig angenommenen Zustand.
5. Eine administrative Operation ohne angemessene Schutzmaßnahmen wird zugänglich.
6. Die Einschränkungen beim Schreiben von Dateien (Inhalt und Speicherort) werden umgangen.

Der letzte Schritt ermöglicht das Schreiben von PHP-Dateien auf dem Server und damit die Ausführung beliebigen Codes. Wordfence stellte klar, dass die Kette die Kombination der verwundbaren Versionen beider Komponenten erfordert, was die Zahl potenzieller Ziele einschränkt. Zum Zeitpunkt der Veröffentlichung wurden keine Hinweise auf aktive Ausnutzung in freier Wildbahn gemeldet.

Auswirkungen: vollständige Kompromittierung und CVSS-Vektor

Der CVSS-Score von 9,8 mit dem Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ordnet die Schwachstelle in den kritischen Bereich ein. Ein entfernter Angreifer kann ohne Berechtigungen und ohne Benutzerinteraktion beliebigen PHP-Code ausführen. Zu den praktischen Folgen gehören:

• Installation von Malware oder Backdoors;
• unbefugter Zugriff auf die Website-Datenbank;
• Umleitung von Besuchern auf bösartige Websites;
• Erstellung nicht autorisierter Administratorkonten.

Im Wesentlichen kann ein Angreifer, der diese Schwachstelle ausnutzt, die vollständige Kontrolle über die WordPress-Website und die von ihr verwalteten Daten übernehmen.

Angriffsfläche: eine Million Installationen, aber einschränkende Voraussetzungen

Das Avada-Theme ist eines der meistverkauften in der Geschichte von WordPress mit über einer Million Kopien. Allerdings reduziert die Notwendigkeit, dass auch Fusion Builder aktiv ist, die Zahl der tatsächlich der Kette ausgesetzten Websites erheblich. Das Plugin wird nicht in allen Konfigurationen automatisch mit dem Theme installiert, und viele Benutzer haben es möglicherweise deaktiviert oder ersetzt.

Es ist nicht bekannt, ob CVE-2026-18431 zum Zeitpunkt der Veröffentlichung in den KEV-Katalog (Known Exploited Vulnerabilities) der CISA aufgenommen wurde. Es liegen keine Informationen über frühere Einträge desselben Herstellers in diesem Katalog vor.

Was jetzt zu tun ist

Administratoren von WordPress-Websites, die das Avada-Theme verwenden, müssen unverzüglich die installierten Versionen überprüfen. Wenn das Theme auf Version 7.16 oder früher und Fusion Builder auf Version 3.16 oder früher ist und beide aktiv sind, ist ein Update erforderlich:

• Avada-Theme → Version 7.16.1 oder höher.
• Fusion-Builder-Plugin → Version 3.16.1 oder höher.

Die Updates sind bereits über die offiziellen Kanäle von ThemeFusion verfügbar. Es wurden keine offiziellen Workarounds bereitgestellt: Das Update ist die einzige angegebene Abschwächung. Wordfence hat die Offenlegung der vollständigen technischen Details bewusst verzögert, um die Anwendung der Patches zu ermöglichen.

Entdeckung mit Argus: ein automatisierter Ansatz für die Schwachstellensuche

Die Schwachstelle wurde vom agentischen Framework Argus entdeckt, das intern von Defiant, dem Unternehmen hinter Wordfence, entwickelt wurde. Argus analysierte das Theme und das Plugin, identifizierte die Kette von sechs Schwachstellen und erstellte ab der Entdeckung am 30. Juli in etwa zwei Stunden einen funktionierenden Proof-of-Concept. ThemeFusion erhielt die vollständigen Details am 5. August und bestätigte den Empfang am 10. August; die Korrekturen wurden am 25. August veröffentlicht.

Der Vorfall zeigt, wie Automatisierung bei der Schwachstellensuche die Zeit zwischen Entdeckung und Behebung verkürzen kann, aber auch, wie ein einziges Update eine komplexe Kette gleichzeitig auftretender Probleme schließen kann.