WordPress: RCE-Sicherheitslücke in All-in-One WP Migration – rund 3,2 Millionen Websites gefährdet

Eine schwerwiegende Sicherheitslücke im Plugin All-in-One WP Migration and Backup kann für die Remote-Code-Ausführung auf einer WordPress-Website ausgenutzt werden. Das Problem wird als CVE-2026-19949 geführt und betrifft alle Plugin-Versionen bis einschließlich 7.109.

Eine Sicherheitskorrektur ist seit Version 7.110 verfügbar, die am 20. August veröffentlicht wurde. Am 3. September 2026 waren jedoch nur 35 % der mehr als 5 Millionen aktiven Installationen aktualisiert. Damit sind schätzungsweise noch rund 3,2 Millionen Websites gefährdet.

Die Schwachstelle betrifft die Wiederherstellung von .wpress-Archiven und beruht auf einer Second-Order-SQL-Injection. Der Angriff kombiniert in der Datenbank gespeicherte Eingaben, WordPress-Trackbacks, über die REST-API erreichbare Kommentare und ein speziell präpariertes Backup-Archiv zur Installation von Schadcode.

Verwundbare Versionen und Schweregrad von CVE-2026-19949

Der Umfang der betroffenen Installationen lässt sich präzise eingrenzen:

• Produkt: All-in-One WP Migration and Backup für WordPress;
• Verwundbare Versionen: bis einschließlich 7.109;
• Sicherheitsbereinigte Version: 7.110;
• Betroffene Komponente: Import- und Wiederherstellungsfunktion für .wpress-Archive.

Die NVD-Datenbank des NIST bewertet die Schwachstelle mit einem CVSS-v3-Score von 8,8 und folgendem Vektor:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Die Klassifizierung lautet CWE-89 und bezieht sich auf die unzureichende Neutralisierung spezieller Elemente, die in einen SQL-Befehl eingefügt werden. Der Fehler ermöglicht es, SQL-Abfragen an bereits vom Plugin vorbereitete Vorgänge anzuhängen und vertrauliche Informationen aus der Datenbank auszulesen.

Die CVSS-Werte weisen auf erhebliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hin. Der Angriff kann über das Netzwerk durchgeführt werden, weist eine geringe Komplexität auf und erfordert während der Ausführung keine Benutzerinteraktion.

Allerdings besteht eine Unstimmigkeit bei der Einstufung. Die Beschreibung der Schwachstelle und die Analyse von Defiant, dem Unternehmen, das das Problem gemeldet hat, sprechen von einem Szenario, das für nicht authentifizierte Angreifer zugänglich ist. Der CVSS-Vektor enthält dagegen PR:L, also die Voraussetzung niedriger Berechtigungen. Eine abschließende Erklärung für diesen Unterschied liegt nicht vor.

Warum es sich um eine „Second-Order“-SQL-Injection handelt

Bei einer herkömmlichen SQL-Injection erreicht die manipulierte Eingabe direkt eine verwundbare Abfrage und wird im selben Anforderungsablauf ausgeführt. In diesem Fall ist der Ablauf komplexer.

Der Angreifer fügt zunächst manipulierte Daten ein, die WordPress speichert, ohne sie unmittelbar in eine gefährliche Abfrage umzuwandeln. Die Eingabe verbleibt in der Datenbank und wird erst später ausführbar, wenn das Plugin diese Daten bei der Erstellung und Wiederherstellung eines Archivs verarbeitet.

Daher die Bezeichnung Second-Order-SQL-Injection: Die Payload wird in einer ersten Phase gespeichert und zu einem späteren Zeitpunkt innerhalb eines anderen Anwendungsprozesses aktiviert.

All-in-One WP Migration komprimiert Inhalte, Konfigurationen und die Datenbank einer Website in Dateien mit der Endung .wpress. Beim Import muss das Plugin URLs und Tabellenpräfixe an den Zielserver anpassen. Genau diese Umschreibung des gespeicherten SQL-Codes verwandelt die vom Angreifer kontrollierte Eingabe in ausführbare Anweisungen.

Das Problem entsteht durch unzureichendes Escaping eines extern steuerbaren Parameters und die unzureichende Vorbereitung einer bereits vorhandenen SQL-Abfrage. Der Angriff besteht daher nicht lediglich im Hochladen eines Backups, sondern nutzt die Art und Weise aus, wie das Plugin die Datenbank rekonstruiert.

Von Trackbacks zum geheimen Plugin-Schlüssel

Die von Defiant beschriebene Angriffskette beginnt mit dem Versand von zwei Trackbacks an einen öffentlich zugänglichen WordPress-Artikel. Jeder Trackback enthält einen abschließenden umgekehrten Schrägstrich und eine mit der Payload verknüpfte URL.

Diese Werte werden gespeichert, ohne die umgekehrten Schrägstriche zu entfernen oder die URLs zu blockieren. Der Code bleibt zunächst inaktiv. Um die SQL-Injection abzuschließen, muss ein Administrator ein Archiv erstellen und anschließend importieren.

Bei der Wiederherstellung verändert das Plugin die URLs und Tabellenpräfixe im SQL-Dump. Dabei wird auch der Inhalt der in den Trackbacks eingefügten Daten verarbeitet und in gültiges SQL umgewandelt.

Die daraus resultierende Abfrage kopiert den Wert von ai1wm_secret_key in einen Kommentar. Dieser Schlüssel wird zum Schutz der verschiedenen Phasen des Imports verwendet. Der Kommentar wird anschließend genehmigt und öffentlich sichtbar.

Nun kann der Angreifer den Schlüssel über den REST-API-Endpunkt für Kommentare ohne Authentifizierung auslesen. Mit dem gestohlenen Geheimnis lässt sich die für den Import vorgesehene Zugriffskontrolle umgehen, die nicht die reguläre WordPress-Administrationsauthentifizierung verwendet.

Die Schwachstelle beruht somit auf dem Zusammenspiel mehrerer Komponenten: Trackbacks des WordPress-Kerns, Datenbank, Wiederherstellungsprozess des Plugins und REST-API für Kommentare.

Das .wpress-Archiv ermöglicht die Codeausführung

Nachdem der Angreifer den Schlüssel erlangt hat, kann er ein speziell präpariertes .wpress-Archiv importieren. Die Datei enthält ein bösartiges Must-use-Plugin, also PHP-Code, den WordPress automatisch lädt, ohne dass die reguläre Aktivierung eines Plugins erforderlich ist.

Beim nächsten Laden einer Seite wird die Komponente ausgeführt und der Angreifer erlangt Remote Code Execution. Dies kann zur vollständigen Kompromittierung der WordPress-Installation führen.

Eine RCE ermöglicht es – abhängig von den Berechtigungen des Webprozesses –, Webshells zu installieren, den Zugriff auf den Server dauerhaft aufrechtzuerhalten sowie Dateien oder Konfigurationen zu verändern. Außerdem können in der Datenbank gespeicherte Daten offengelegt, Inhalte manipuliert und die kompromittierte Website als Ausgangspunkt für weitere Aktivitäten missbraucht werden.

Die Angriffskette umfasst mehrere Schritte und setzt einen administrativen Backup- und Wiederherstellungsvorgang voraus. Dadurch wird das Risiko jedoch nicht beseitigt: Die Payload kann gespeichert bleiben, bis der Administrator genau diese Vorgänge ausführt.

Dringendes Update und Überprüfung der Installationen

Die dokumentierte Abhilfemaßnahme besteht in der Aktualisierung auf All-in-One WP Migration and Backup 7.110. Jede Installation mit Version 7.109 oder älter muss als verwundbar betrachtet werden.

Eine offizielle alternative Übergangslösung wurde nicht angegeben. Insbesondere liegen keine dokumentierten Anweisungen vor, mit denen sich die Schwachstelle ausschließlich durch Maßnahmen gegen Trackbacks, den REST-Endpunkt für Kommentare oder den Import von .wpress-Dateien neutralisieren lässt. Diese Änderungen dürfen daher nicht als Ersatz für die Installation des Sicherheitsupdates betrachtet werden.

Neben der Überprüfung der installierten Version sollten Administratoren auf mögliche Hinweise achten, die mit der beschriebenen Angriffskette übereinstimmen:

• ungewöhnliche Trackbacks mit unerwarteten URLs oder abschließenden umgekehrten Schrägstrichen;
• veröffentlichte oder genehmigte Kommentare ohne nachvollziehbaren betrieblichen Zusammenhang;
• mögliche Offenlegung des Werts ai1wm_secret_key;
• unbekannte .wpress-Importe;
• unbekannte Must-use-Plugins;
• PHP-Dateien, Webshells oder dauerhafte Änderungen, die keinem Administrator zugeordnet werden können.

Es wurden keine Dateinamen, IP-Adressen, Hashes oder sonstigen spezifischen Indicators of Compromise veröffentlicht. Die Überprüfung sollte sich daher auf die Import-Historie, HTTP-Logs, die Inhalte der Kommentare und das Verzeichnis für Must-use-Plugins konzentrieren.

Keine Informationen zu CISA KEV und früheren Vorfällen des Herstellers

Es wurde nicht berichtet, dass CVE-2026-19949 in den Katalog Known Exploited Vulnerabilities der CISA aufgenommen wurde. Daher ist keine damit verbundene Frist für US-Bundesbehörden bekannt.

Das Fehlen eines kommunizierten KEV-Status bedeutet nicht, dass die Schwachstelle nicht tatsächlich ausgenutzt wird. Es besagt lediglich, dass keine entsprechende operative Bestätigung vorliegt. Auch zu aktiven Kampagnen oder groß angelegten Angriffen wurden keine Angaben gemacht.

Der Herstellername wird neben der Produktbezeichnung nicht ausdrücklich genannt. Daher lässt sich dieser Vorfall nicht zuverlässig mit möglichen anderen jüngeren Vorfällen desselben Anbieters im KEV-Katalog in Verbindung bringen.

Die unmittelbar wichtigste Information bleibt das Ausmaß der Gefährdung: Am 3. September waren noch rund 3,2 Millionen Installationen verwundbar. Betreiber von WordPress-Websites mit diesem Plugin sollten daher umgehend die installierte Version überprüfen und auf 7.110 aktualisieren.