WordPress unter Angriff: Über 440.000 Exploit-Versuche gegen Super Forms und Elementor Pro

Zwei kritische Schwachstellen in den WordPress-Plugins Super Forms – Drag & Drop Form Builder und Elementor Pro werden aktiv ausgenutzt, um PHP-Dateien hochzuladen und Code auf Servern auszuführen.

Wordfence hat insgesamt mehr als 440.000 Exploit-Versuche blockiert: über 250.000 gegen CVE-2026-14894 in Super Forms und mehr als 190.000 gegen CVE-2026-32475 in Elementor Pro.

In beiden Fällen können die Angriffe ohne Authentifizierung durchgeführt werden. Bei erfolgreicher Ausnutzung kann ein Angreifer eine Webshell installieren, Befehle ausführen, WordPress-Administratoren anlegen, Daten stehlen und die Kontrolle über die Installation übernehmen.

Zwei bereits großflächig aktive Kampagnen

Die Aktivitäten gegen Super Forms sollen am 14. Juli 2026 begonnen haben und am 18. August 2026 mehr als 40.000 Exploit-Anfragen erreicht haben. Die gegen die Schwachstelle in Elementor Pro gerichteten Versuche begannen dagegen am 19. August 2026.

Wordfence beschrieb die beiden Kampagnen in Berichten, die in derselben Woche veröffentlicht wurden. Eine Zuordnung zu einer bestimmten kriminellen Gruppe wurde nicht vorgenommen: Die beobachteten IP-Adressen identifizieren zwar die bei den Angriffen verwendete Infrastruktur, belegen jedoch nicht die Identität der Betreiber.

Beide Schwachstellen fallen unter CWE-434, also das Hochladen potenziell gefährlicher Dateien ohne ausreichende Einschränkungen. Das Endergebnis ist ähnlich, die Ausnutzungsmechanismen unterscheiden sich jedoch.

Für CVE-2026-14894 weist die NVD einen CVSS-Score von 9,8 mit folgendem Vektor aus:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Für CVE-2026-32475 beträgt der NVD-Score CVSS 9:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Eine weitere Bewertung stuft den Schweregrad für Elementor Pro mit 9,0/9,8 ein. Dieser Wert ist vom offiziell verfügbaren NVD-Score zu unterscheiden, der weiterhin bei 9 liegt.

Super Forms akzeptiert als Bild getarnten PHP-Code

CVE-2026-14894 betrifft alle Versionen von Super Forms – Drag & Drop Form Builder bis einschließlich 6.3.313. Die Schwachstelle wurde in Version 6.3.314 behoben.

Die Schwachstelle befindet sich im AJAX-Ablauf zum Absenden von Formularen. Der Handler submit_form, der auch nicht authentifizierten Benutzern über einen nopriv-Endpunkt zugänglich ist, prüft weder den Dateityp korrekt noch die WordPress-Capabilities.

Zwar war ein Sitzungs-Nonce vorhanden, dieser stellte jedoch keinen wirksamen Schutz dar. Ein nicht authentifizierter Besucher kann ihn frei abrufen, indem er einen anderen nopriv-Endpunkt aufruft, und ihn anschließend in der bösartigen Anfrage verwenden.

Die beobachteten Angriffe senden POST-Anfragen an:

/wp-admin/admin-ajax.php

Die Anfrage verwendet die Aktion super_submit_form und enthält Parameter wie form_id=2, sf_nonce, sf_upload_field sowie den Typ files. Der Angreifer kontrolliert außerdem den Dateinamen und den übertragenen Inhalt.

In einem analysierten Beispiel war der PHP-Payload Base64-kodiert und als GIF-Bild deklariert:

data:image/gif;base64

Der tatsächliche Inhalt bestand jedoch aus ausführbarem Code. Die Datei wurde unter folgendem Namen gespeichert:

Mushr00w_upl.php

Dabei handelt es sich um eine Webshell, die darauf ausgelegt ist, weitere Payloads zu empfangen und hochzuladen. Der scheinbar harmlose MIME-Typ verhindert die Ausführung daher nicht, da die Prüfung die tatsächliche Beschaffenheit der Datei nicht zuverlässig feststellt.

Elementor Pro durch speziell konstruiertes Array umgangen

CVE-2026-32475 betrifft Elementor Pro bis einschließlich Version 4.2.1. Die NVD nennt keine genaue erste betroffene Version des anfälligen Entwicklungszweigs. Die korrigierte Version ist 4.2.2.

Für die Ausnutzung ist eine bestimmte Konfiguration auf der Zielwebsite erforderlich: Es muss mindestens eine veröffentlichte Elementor-Seite vorhanden sein, die ein Form-Widget mit einem File Upload-Feld enthält. Der Angriff bleibt unauthentifiziert, diese Voraussetzung erklärt jedoch die im CVSS-Vektor angegebene höhere Komplexität.

Der Bypass nutzt die Art und Weise aus, wie das Upload-Feld strukturiert wird. Der Angreifer übermittelt es als Array: Das erste Element bleibt leer, während das zweite den PHP-Payload sowie einen Namen enthält, der mit der Erweiterung .php endet.

Diese Konstruktion umgeht die Validierung. Das Plugin schreibt die Datei anschließend in das Verzeichnis:

/wp-content/uploads/elementor/forms/

Der Name wird zufällig generiert, die vom Angreifer kontrollierte Erweiterung .php bleibt jedoch erhalten. Danach genügt der direkte Aufruf der Datei, um Befehle auf dem Server auszuführen.

Patchstack hatte die Details zu CVE-2026-32475 bereits im vergangenen Monat veröffentlicht. Die anschließend beobachteten Aktivitäten bestätigen, dass die technischen Informationen in reale Kampagnen eingeflossen sind und nicht nur für Demonstrationstests verwendet wurden.

Von der Webshell zur vollständigen Kontrolle der Website

Die unmittelbare Folge beider Schwachstellen ist die Möglichkeit, PHP-Code an einer über das Web erreichbaren Stelle abzulegen. Die weiteren Auswirkungen hängen von den Berechtigungen des Kontos ab, unter dem der Server PHP ausführt, sowie von der Hosting-Konfiguration.

Eine Webshell kann verwendet werden, um:

• Malware und zusätzliche Tools hochzuladen;
• beliebige Befehle auf dem System auszuführen;
• Themes, Plugins und Konfigurationen zu verändern;
• WordPress-Konten mit Administrationsrechten anzulegen;
• Zugangsdaten und Daten aus der Datenbank auszulesen;
• Inhalte zu verändern oder zu löschen;
• einen dauerhaften Zugriff auf den Server aufrechtzuerhalten;
• weitere Websites in derselben Umgebung zu kompromittieren, wenn die Isolation unzureichend ist.

Das Aktualisieren des Plugins schließt die Schwachstelle, entfernt jedoch keine bereits hochgeladenen Dateien oder vom Angreifer angelegten Konten. Bei Websites, die während der Kampagnen exponiert waren, muss der Patch daher durch eine nachträgliche Überprüfung ergänzt werden.

In den verfügbaren NVD-Einträgen ist keine Aufnahme von CVE-2026-14894 oder CVE-2026-32475 in den Katalog CISA Known Exploited Vulnerabilities angegeben. Daher lässt sich weder ein Aufnahmedatum noch eine CISA-Frist nennen. Es liegen auch keine ausreichenden Hinweise vor, um diese Vorfälle mit anderen jüngeren Vorfällen der beiden Anbieter im KEV-Katalog in Verbindung zu bringen.

Das Fehlen eines bekannten KEV-Status verringert die Dringlichkeit jedoch nicht: Die Ausnutzung ist durch Hunderttausende bösartige Anfragen direkt dokumentiert.

Patches installieren und sofortige Prüfungen durchführen

Betreiber von WordPress-Installationen sollten unverzüglich aktualisieren:

• Super Forms auf Version 6.3.314 oder höher;
• Elementor Pro auf Version 4.2.2 oder höher.

Auch deaktivierte oder veraltete Kopien der Plugins sollten überprüft werden. Eine nicht verwendete, aber weiterhin auf dem Server vorhandene Komponente kann anfälligen Code enthalten und die Angriffsfläche vergrößern.

Bei Elementor Pro sollte insbesondere das folgende Verzeichnis untersucht werden:

/wp-content/uploads/elementor/forms/

Es sollte nach unerwarteten, neu hinzugefügten oder kürzlich veränderten PHP-Dateien gesucht werden, ohne sich auf bekannte Dateinamen zu beschränken. Bei Super Forms sollten die HTTP-Logs auf Anfragen an folgende Adresse untersucht werden:

/wp-admin/admin-ajax.php

Zu den spezifischeren Indikatoren zählen die Aktion super_submit_form, der Name Mushr00w_upl.php, Base64-kodierte PHP-Payloads sowie Uploads, die als image/gif deklariert, aber mit der Erweiterung .php gespeichert wurden.

Administratoren sollten außerdem Folgendes überprüfen:

• neue WordPress-Konten mit erweiterten Berechtigungen;
• nicht autorisierte Änderungen an Plugins, Themes und Konfigurationsdateien;
• ungewöhnliche PHP-Prozesse oder direkte Anfragen an Upload-Verzeichnisse;
• ungewöhnliche ausgehende Verbindungen des Servers;
• Änderungen an Zugangsdaten, Inhalten oder Website-Einstellungen.

Beobachtete IP-Adressen und Reaktion auf eine mögliche Kompromittierung

Zu den mit den Angriffen auf Super Forms verbundenen Quellen zählen:

103.168.147.235
103.168.146.131
103.154.152.178
103.170.97.7
182.10.130.51
189.4.122.140
129.227.46.143
64.176.209.104
103.164.182.122
37.9.33.62

Für Elementor Pro wurden folgende Adressen beobachtet:

2602:fa59:10:7a1::1
185.196.220.85
103.84.230.85
103.90.148.202
216.126.225.208
167.254.240.75
167.254.241.119
114.10.17.253
114.10.45.151
2406:ef80:2:7d19::1

Diese Adressen können blockiert oder überwacht werden, sollten jedoch nicht das einzige Erkennungskriterium darstellen. Die Infrastruktur kann sich ändern, gemeinsam genutzt werden oder selbst kompromittiert sein.

Wenn Hinweise auf einen Eindringversuch vorliegen, müssen Webshells entfernt, Dateien aus vertrauenswürdigen Backups wiederhergestellt und die Zugangsdaten für WordPress, Hosting, FTP/SFTP, Datenbank und APIs geändert werden. Die bloße Löschung des sichtbaren Payloads garantiert keine Bereinigung: Der Angreifer könnte weitere Persistenzmechanismen eingerichtet haben.