Wer ein WordPress-Formular mit dem Plugin Everest Forms Pro betreibt, sollte umgehend prüfen, welche Version installiert ist. Eine als CVE-2026-3300 geführte Schwachstelle mit dem Höchstwert-nahen CVSS-Score 9.8 erlaubt es Angreifern, ohne jede Anmeldung beliebigen Code auf dem Server auszuführen und die komplette Website zu übernehmen. Die Lücke wird seit Wochen aktiv ausgenutzt.
Was genau ist die Schwachstelle?
Das Problem steckt in der Funktion Complex Calculation des Plugins. Sie nimmt Werte entgegen, die über Formularfelder eingegeben werden, baut daraus einen PHP-Code-String zusammen und führt diesen anschließend mit der berüchtigten Funktion eval() aus. Zwar werden die Eingaben durch sanitize_text_field() geleitet, doch diese Funktion escaped weder einfache Anführungszeichen noch andere Zeichen, die die PHP-Syntax beeinflussen. Damit lässt sich aus einem harmlosen Formularfeld ausbrechen und eigener Code einschleusen.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Weil der Angriff ohne Authentifizierung funktioniert, reicht ein öffentlich erreichbares Formular mit dieser Funktion aus. Betroffen sind alle Versionen bis einschließlich 1.9.12.
Aktive Ausnutzung im großen Stil
Sicherheitsforscher beobachten die Angriffe bereits seit dem 13. April. Allein der Schutzdienst Wordfence will über 29.300 Angriffsversuche blockiert haben. Das typische Vorgehen der Angreifer: Sie legen über die Lücke ein neues Administrator-Konto an – in vielen Fällen mit dem Benutzernamen diksimarina und der hinterlegten Adresse diksimarina@gmail.com. Wer ein solches Konto in seiner Nutzerverwaltung findet, muss von einer Kompromittierung ausgehen.
Patch ist verfügbar
Der Hersteller hat den Fehler bereits am 18. März 2026 mit Version 1.9.13 behoben. Wer noch eine ältere Version einsetzt, sollte unverzüglich aktualisieren.
Diese Schritte sind jetzt wichtig
- Plugin sofort auf Version 1.9.13 oder neuer aktualisieren.
- Benutzerliste auf unbekannte Administrator-Konten prüfen (insbesondere diksimarina) und verdächtige Konten entfernen.
- Server-Logs und Datei-Änderungen auf eingeschleuste PHP-Dateien oder Backdoors kontrollieren.
- Im Verdachtsfall alle Passwörter und Sicherheitsschlüssel (Salts) zurücksetzen.
Lehre für Betreiber
Der Fall zeigt erneut, wie gefährlich die Kombination aus dynamisch zusammengesetztem Code und der eval()-Funktion ist. Formular-Plugins gehören zu den am weitesten verbreiteten Erweiterungen im WordPress-Ökosystem und sind damit ein attraktives Ziel. Ein striktes Update-Management und die Reduktion auf wirklich benötigte Plugins bleiben die wirksamsten Schutzmaßnahmen.
Quellen
- BleepingComputer: Critical Everest Forms Pro flaw exploited to take over WordPress sites
- The Hacker News: Hackers Exploit Critical Everest Forms Pro WordPress Plugin Flaw
- SecurityWeek: Everest Forms Vulnerability Exploited to Hack WordPress Sites
- SentinelOne: CVE-2026-3300 Vulnerability Database
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden