Elementor Pro Sicherheitslücke CVE-2026-32475: Jetzt auf 4.2.2 updaten

Die Elementor Pro Sicherheitslücke CVE-2026-32475 trifft eine der meistgenutzten Erweiterungen im WordPress-Umfeld. Angreifer können ohne Anmeldung eine PHP-Datei auf den Server legen und ausführen. Patchstack als zuständige CNA bewertet den Fehler mit CVSS 9.0. Die Korrektur steckt in Version 4.2.2, veröffentlicht am 19. August 2026.

Wie die Elementor Pro Sicherheitslücke funktioniert

Betroffen ist das Formular-Modul, genauer das Feld „Datei-Upload“. In Version 4.2.1 und älter läuft die Verarbeitung eines Uploads in zwei getrennten Schleifen: Die eine prüft die Dateiendung, die andere verschiebt die Datei in ein öffentliches Verzeichnis. Beide Schleifen behandeln einen leeren Upload-Eintrag unterschiedlich – und genau in dieser Lücke sitzt der Fehler.

Die Prüfschleife steigt bei einem leeren Eintrag mit return komplett aus der Methode aus – vorausgesetzt, das Feld ist nicht als Pflichtfeld markiert, was der Werkseinstellung entspricht. Alle folgenden Einträge werden dadurch nie geprüft. Die Verschiebeschleife dagegen überspringt mit continue nur diesen einen Eintrag und arbeitet danach weiter. Wer also zwei Dateiteile für dasselbe Feld schickt – zuerst einen leeren, dann die PHP-Datei –, umgeht die Sperrliste vollständig. Die PHP-Datei landet trotzdem in wp-content/uploads/elementor/forms/ und ist von außen aufrufbar.

Der Dateiname wird dabei aus der PHP-Funktion uniqid() gebildet, die Endung des Angreifers bleibt erhalten. Weil uniqid() zeitbasiert und nicht zufällig ist, lässt sich der Name laut Patchstack günstig erraten: Die Sekunden verrät der Date-Header der Antwort, nur die Mikrosekunden bleiben übrig. Ganz ohne Raten geht es, wenn das Formular zusätzlich eine Autoresponder-Mail an die eingegebene Adresse schickt – laut Patchstack verbreitet gerade bei Bewerbungs- und Support-Formularen. Die Standardvorlage rendert alle Felder inklusive der fertigen Datei-URL, die damit direkt beim Angreifer im Postfach liegt.

Wer ist betroffen?

Angreifbar ist nach Patchstacks Darstellung jede veröffentlichte Elementor-Seite, die ein Formular-Widget mit Datei-Upload-Feld enthält. Wer ein Kontaktformular mit Lebenslauf-Anhang, ein Reklamationsformular mit Belegupload oder ein Ticketformular betreibt, gehört damit zur Zielgruppe – es braucht keine ungewöhnliche Konfiguration, die Werkseinstellungen genügen. Sämtliche Parameter, die der Angriff benötigt, stehen ohnehin im öffentlich ausgelieferten HTML; angesprochen wird die AJAX-Schnittstelle ohne Sitzungscookie und ohne Nonce.

Elementor selbst schränkt den Kreis enger ein: Gegenüber BleepingComputer erklärte der Hersteller, betroffen seien nur Formulare, bei denen zusätzlich die Mehrfach-Upload-Option aktiviert ist – und die sei standardmäßig aus. Patchstack nennt diese Bedingung nicht. Solange sich die beiden Darstellungen widersprechen, gilt im Zweifel die vorsichtigere Annahme: patchen.

Zur Einordnung wichtig: Aktive Ausnutzung ist zum Stand der Advisories (20. August 2026) nicht beobachtet worden. Der Zeitplan laut Patchstack: Meldung durch den Forscher Tin Pham (TF1T) am 16. Juli 2026, Patch des Herstellers am 17. Juli fertig, Gegenprüfung am 3. August, Veröffentlichung von 4.2.2 und des Advisories am 19. August.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Was das für dich bedeutet

Diese Lücke ist aus zwei Gründen unangenehmer, als die CVSS-Zahl allein vermuten lässt. Erstens ist sie unauthentifiziert – es braucht keinen gestohlenen Redakteurs-Login und keinen Social-Engineering-Schritt, nur einen HTTP-Request an eine Seite, die ohnehin öffentlich ist. Zweitens bleibt nach einem erfolgreichen Versuch eine Datei auf der Platte liegen.

Patchstack weist ausdrücklich darauf hin, dass ein Update den bereits geschriebenen Payload nicht entfernt. In der Praxis wird genau das übersehen: Patchen gilt als erledigt, der Uploads-Ordner wird nie angesehen. Wer erst nächste Woche aktualisiert und dann abhakt, hat womöglich eine funktionierende Webshell im System – hinter einer vollständig gepatchten Installation.

Aus Sicht der Angriffsökonomie ist so etwas hochattraktiv: WordPress-Seiten mit Elementor Pro lassen sich massenhaft per Fingerprint finden, der Exploit braucht keine Zielkenntnis, und der Ertrag – ein Server mit PHP-Ausführung – ist sofort weiterverkäuflich. Zwischen Advisory und flächendeckenden Scans liegen bei solchen Konstellationen erfahrungsgemäß Tage, nicht Wochen. Ähnlich gelagert war die WordPress-Sicherheitslücke wp2shell, bei der ebenfalls Pre-Auth-Codeausführung im Spiel war.

Für Entwickler steckt in dem Fall eine Lehre, die weit über dieses Plugin hinausreicht: Eine Prüfung, die räumlich von der Aktion getrennt ist, die sie absichern soll, ist keine Absicherung, sondern eine Absichtserklärung. Wer Uploads baut, validiert unmittelbar vor dem Verschieben – im selben Codeblock, an denselben Daten. Wer stattdessen einen vorgelagerten Validierungslauf schreibt, muss beweisen können, dass beide Durchläufe dieselbe Menge sehen. Genau das lässt sich in Reviews kaum prüfen, weil jede Funktion für sich unauffällig aussieht.

Konkrete Schritte für deine Installation

• Elementor Pro auf 4.2.2 oder neuer aktualisieren. Der Fix bringt beide Schleifen auf dieselbe Sicht und prüft die Endung zusätzlich unmittelbar vor dem Verschieben. Vorher ein Backup ziehen – auch ein sauberes Update kann bei stark angepassten Themes Nebenwirkungen haben.
• Den Upload-Ordner kontrollieren. Per Shell: find wp-content/uploads/elementor/forms -name "*.php". Ein Treffer dort ist kein Zufall, sondern ein Fund. Ergänzend lohnt ein Blick in die Access-Logs auf POST-Anfragen an admin-ajax.php mit der Aktion elementor_pro_forms_send_form, gefolgt von einem GET auf eine Datei unter /uploads/elementor/forms/.
• Prüfen, ob du überhaupt betroffen bist. Nur veröffentlichte Seiten mit Formular-Widget und Datei-Upload-Feld kommen in Frage. Wer das Feld nicht wirklich braucht, entfernt es – die zuverlässigste Absicherung bleibt eine Funktion, die es gar nicht gibt.
• PHP-Ausführung im Uploads-Verzeichnis serverseitig sperren. Das ist unabhängig von dieser Lücke sinnvoll und hätte den Angriff hier vollständig entwertet: Die Datei wäre zwar gelandet, aber nie ausgeführt worden. Unter nginx über einen location-Block, bei Apache über die Verzeichniskonfiguration.
• Bei Verdacht Zugangsdaten neu setzen. Wer PHP ausführen konnte, kann die wp-config.php gelesen haben. Datenbank-Passwort, Salts und Admin-Logins gehören dann getauscht – und die Sitzungen aller Nutzer invalidiert.

Ein Punkt am Rande, der in solchen Fällen regelmäßig weh tut: Wer keine aktuelle, getrennt aufbewahrte Sicherung hat, kann eine kompromittierte Installation nicht sauber zurücksetzen, sondern nur aufräumen und hoffen. Welche Speichermedien sich dafür eignen, steht im Ratgeber zu verschlüsselten USB-Sticks und externen SSDs.

Quellen

• Patchstack: Critical Unauthenticated File Upload to RCE in Elementor Pro Plugin (19.08.2026)
• BleepingComputer: Critical Elementor Pro bug exposes WordPress sites to RCE attacks (20.08.2026)
• The Hacker News: Elementor Pro Flaw Could Let Unauthenticated Attackers Upload PHP and Execute Code (20.08.2026)