All-in-One WP Migration: 3,2 Millionen WordPress-Sites noch verwundbar, Update 7.110 stopft Second-Order-SQL-Injection

Ein Bug im weitverbreiteten Migrations-Plugin von ServMask erlaubt Angreifern, per unauthentifiziertem Trackback eine SQL-Falle zu legen, die erst beim Restore durch einen Admin zuschnappt. Der Patch liegt seit dem 20. August bereit, laut Wordfence sind rund 3,2 Millionen WordPress-Seiten aber noch verwundbar.

Was passiert ist

Die Sicherheitsfirma Wordfence hat in All-in-One WP Migration and Backup eine Second-Order-SQL-Injection gefunden, geführt unter CVE-2026-19949 mit einem CVSS-Score von 8,8. Betroffen sind alle Versionen bis einschließlich 7.109. Der Hersteller ServMask hat den Fix in Version 7.110 ausgeliefert, verfügbar seit dem 20. August 2026. Heise hat die Warnung am 3. September nachgereicht, weil Wordfence inzwischen konkrete Angriffsmuster im Netz sieht.

Wie der Angriff funktioniert

Der Angreifer braucht keinen Login. Er schickt zwei präparierte Trackbacks an eine WordPress-Seite, auf der Trackbacks aktiv sind. Die manipulierten Daten landen unauffällig in der Datenbank und verhalten sich zunächst wie normale Kommentare. Scharf wird die Falle erst, wenn ein Administrator die Seite mit All-in-One WP Migration exportiert und die Sicherung anschließend über die Restore-Funktion des Plugins zurückspielt. In diesem Moment interpretiert das Plugin den in den Trackbacks eingebetteten Payload als SQL, liest den geheimen Plugin-Schlüssel aus und ermöglicht darüber einen präparierten Import, mit dem sich beliebiger Code auf dem Server ausführen lässt.

Was das für Webdesigner bedeutet

All-in-One WP Migration steckt in vielen Agentur-Workflows als Standardweg für Umzüge, Staging-Klone und schnelle Backups. Genau dieser Alltag wird zur Angriffsfläche, denn der Bug schnappt nicht beim ersten Klick zu, sondern beim nächsten regulären Restore. Wer das Plugin auf Kundenseiten installiert hat und es länger nicht aktualisiert, kann sich die Falle unbemerkt schon eingefangen haben.

Was heute konkret zu tun ist

• All-in-One WP Migration and Backup auf allen betreuten Seiten auf mindestens Version 7.110 aktualisieren.
• Wenn das Plugin auf einer Seite nicht gebraucht wird, deaktivieren und deinstallieren, sonst bleibt der Angriffspfad offen.
• Kommentare und Trackbacks auf verdächtige Einträge mit vielen Backslashes oder ungewöhnlichen URLs prüfen, im Zweifel löschen, bevor die nächste Sicherung angelegt wird.
• Vor dem nächsten Umzug oder Klon einer Kundenseite den Plugin-Stand kontrollieren, damit die Restore-Falle nicht auf dem Zielsystem zuschnappt.

Wer regelmäßig Webdesign-Aufträge für Betreiber mit veralteten WordPress-Installationen sucht, findet über webdesign-leads passende Ansprechpartner im DACH-Raum, die Betreuung und Sicherheitsupdates brauchen.