Elementor Sicherheitslücke CVE-2026-62062: Ein Link macht Fremde zum Admin

Die Elementor Sicherheitslücke CVE-2026-62062 hat in den Versionen 4.3.0 und 4.3.1 den einzigen CSRF-Schutz ausgehebelt, den WordPress für Cookie-authentifizierte REST-Anfragen mitbringt. Ein einziger Klick eines eingeloggten Administrators auf einen präparierten Link genügte, um ein zweites Administratorkonto für den Angreifer anzulegen. Der Hersteller hat den Fehler in Version 4.3.2 behoben.

Betroffen sind genau zwei Versionen

Elementor Website Builder ist der meistgenutzte Seitenbaukasten für WordPress und laut Patchstack auf über zehn Millionen Websites aktiv. Der NVD-Eintrag nennt als betroffen alle Stände bis einschließlich 4.3.1, behoben in 4.3.2. Die technische Analyse von Patchstack schränkt das ein: Praktisch verwundbar sind ausschließlich die Releases 4.3.0 und 4.3.1, die laut Patchstack nach Zahlen von WordPress.org auf bis zu zwei Millionen Seiten liefen. Ältere Versionen enthalten das betroffene Modul nicht, haben dafür aber andere, teils aktiv ausgenutzte Schwachstellen.

Der Fehler ist inzwischen als CVE-2026-62062 registriert. Die NVD führt ihn mit CVSS 3.1 und einem Basiswert von 8.8 (hoch), Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H, Schwächenklasse CWE-352. Die Einstufung stammt von Patchstack als CNA. Der Zeitplan war kurz: Am 22. September 2026 meldete der Bug-Hunter „Saggre“ den Fund über Patchstack an Elementor, am 24. September erschien Version 4.3.2, am 25. September wurde die Analyse veröffentlicht.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Ein Substring-Vergleich an der falschen Stelle

Technisch ist der Fehler lehrreich. Das Modul „Editor Events“ möchte die eigenen REST-Routen von der Nonce-Prüfung ausnehmen und hängt sich dafür mit Priorität 0 in den Filter rest_authentication_errors. Zu diesem Zeitpunkt hat WordPress die Route aber noch gar nicht aufgelöst. Also prüft der Code die rohe REQUEST_URI mit einem nicht verankerten strpos() auf die Zeichenkette elementor/v1/events/.

Die REQUEST_URI enthält den Querystring, und den schreibt derjenige, der den Link baut. Ein beliebiger Parameter mit dieser Zeichenkette reicht deshalb aus, damit jede andere REST-Anfrage die Prüfung besteht. Verschärfend kommt hinzu, dass der Filter true zurückgibt. Das bedeutet in WordPress „Authentifizierung bereits erfolgreich“ und beendet die Filterkette, bevor die Kern-Nonce-Prüfung überhaupt läuft. Härtungen anderer Sicherheits-Plugins, die am selben Filter hängen, fallen damit ebenfalls aus.

Weil WordPress zusätzlich einen Parameter zum Überschreiben der HTTP-Methode akzeptiert, braucht der Angriff weder JavaScript noch ein Formular noch eine eigene Webseite. Ein gewöhnlicher Link in einer E-Mail, einem Chat oder einem Kommentar genügt. Die Reichweite endet nicht bei Elementor: Weil die Prüfung vor dem Routing greift, betrifft der Bypass die gesamte REST-Oberfläche der Seite, inklusive der Endpunkte von WordPress selbst und allen anderen Plugins. Der Patch liest jetzt die tatsächlich aufgelöste Route aus $wp->query_vars['rest_route'] und vergleicht sie am Zeichenkettenanfang.

Was die Elementor Sicherheitslücke für dich bedeutet

Diese Elementor Sicherheitslücke ist kein klassisches Serverproblem, sondern ein Angriff auf deinen Browser-Tab. Deine Firewall sieht nichts Auffälliges, denn die Anfrage kommt von deinem eigenen, korrekt angemeldeten Konto. Genau das macht CSRF für kleine Websites so unangenehm: Es gibt keinen Login-Fehlversuch, kein fremdes Land im Log, keinen Alarm. Am Ende steht schlicht ein Benutzer mehr in der Liste.

Aus Identity-Sicht ist die Lehre eine sehr alte. Wer dauerhaft als Administrator eingeloggt bleibt, verwandelt jeden beliebigen Link in eine potenzielle Administrationsaktion. Ich arbeite deshalb seit Jahren mit zwei Konten: einem Redakteurskonto fürs Schreiben und einem getrennten Admin-Konto, das nur für Updates und Konfiguration hochkommt. Das kostet zehn Sekunden pro Sitzung und nimmt Fehlern dieser Klasse den Großteil ihrer Wirkung.

Dein Sofortprogramm

• Version prüfen und updaten: Unter „Plugins“ nachsehen. Steht dort 4.3.0 oder 4.3.1, sofort auf 4.3.2 oder neuer aktualisieren. Ältere Stände enthalten das betroffene Modul nicht, sollten aber aus anderen Gründen trotzdem aktuell sein.
• Benutzerliste kontrollieren: Unter „Benutzer“ jedes Konto mit der Rolle Administrator ansehen. Unbekannte Namen oder Konten mit Registrierungsdatum der letzten Tage sind ein Warnsignal.
• Auf Nachwirkungen prüfen: Wurde ein Admin-Konto angelegt, reicht Löschen nicht. Dann gehören auch Plugin-Liste, Theme-Dateien, geplante Aufgaben und Anwendungspasswörter überprüft.
• Getrennte Rollen einführen: Tägliche Arbeit mit einem Redakteurskonto, Administration nur, wenn sie wirklich gebraucht wird.
• Automatische Updates aktivieren: Für Plugins mit großer Angriffsfläche sind automatische Sicherheitsupdates in der Praxis das kleinere Risiko als eine Woche Verzögerung.

Wie schnell solche Lücken ausgenutzt werden, hat sich zuletzt mehrfach gezeigt. Wir haben darüber unter anderem in WordPress-Lücke CVE-2026-87902: Angriffe am Tag des Patches und in Elementor Pro CVE-2026-32475 berichtet.

Eine aktive Ausnutzung genau dieser Lücke ist Stand 28. September 2026 nicht belegt; im KEV-Katalog der CISA steht sie nicht. Das ist allerdings kein Grund zum Abwarten, denn bei WordPress-Plugins mit Millionen Installationen liegen Advisory und erste Scans erfahrungsgemäß nur Stunden auseinander.

Quellen

• Patchstack: Cross-Site Request Forgery in Elementor Plugin Affecting 2 Million+ Sites (25.09.2026)
• BleepingComputer: Elementor WordPress flaw lets attackers create admin accounts (25.09.2026)
• NVD: CVE-2026-62062 (veröffentlicht 25.09.2026, CVSS 8.8, CWE-352)
• WordPress.org: Elementor – Versionsverteilung und Changelog