Elementor Pro 4.2.2 stopft CVE-2026-32475: File-Upload-Feld lässt PHP-Code auf 6 Millionen WordPress-Sites landen

Elementor hat am 19. August 2026 die Pro-Version 4.2.2 veröffentlicht und schließt damit eine kritische Sicherheitslücke im Formular-Widget. Über die Schwachstelle CVE-2026-32475 kann ein Angreifer ohne Login PHP-Dateien auf betroffene WordPress-Installationen laden und darüber Code ausführen. Laut heise online sind rund sechs Millionen aktive Elementor-Pro-Installationen potenziell verwundbar.

Der Fehler steckt im File-Upload-Feld des Formular-Moduls. Extension-Check und Datei-Ablage laufen in zwei separaten Schleifen mit unterschiedlicher Behandlung leerer Einträge, so die Zerlegung von Patchstack. Wer mehrere Datei-Parts für ein Feld einreicht, schmuggelt an der Filterung vorbei und legt eine PHP-Datei nach wp-content/uploads/elementor/forms/. Von dort lässt sich der Code direkt aufrufen, ein vollständiger Site-Takeover ist möglich.

Wann eine Site betroffen ist

Damit die Lücke ausnutzbar ist, muss auf der Website eine veröffentlichte Seite mit einem Elementor-Pro-Formular-Widget mit File-Upload-Feld liegen. Das Feld muss laut heise und Patchstack nicht als „required“ markiert sein, BleepingComputer verweist zusätzlich auf die Multi-File-Upload-Option, die standardmäßig aus ist. In der Praxis heißt das: klassische Bewerbungs- oder Support-Formulare mit Anhang sind der wahrscheinliche Einstieg.

Wordfence stuft die Lücke laut heise mit CVSS 9,8 als kritisch ein, The Hacker News nennt 9,0. Öffentliche Meldungen zu aktiven Angriffen gibt es bisher nicht, laut BleepingComputer wurden bis Redaktionsschluss keine Ausnutzungsversuche in freier Wildbahn beobachtet. Der Reporter Tin Pham (TF1T) erhielt für den Fund über das Patchstack-Bug-Bounty-Programm 15.600 US-Dollar, einer der höheren Beträge des Programms und ein weiterer Hinweis auf die praktische Tragweite.

Zeitleiste

• 16. Juli 2026: Meldung an Elementor über Patchstack.
• 19. August 2026: Elementor Pro 4.2.2 erscheint als Patch.
• 20. August 2026: BleepingComputer und The Hacker News berichten.
• 21. August 2026: heise online veröffentlicht die deutschsprachige Warnung.

Was heute konkret zu tun ist

Wer Elementor Pro betreibt, öffnet zuerst in WordPress die Plugin-Liste und prüft die Version. Alles unter 4.2.2 gehört sofort aktualisiert, alle Versionen bis einschließlich 4.2.1 gelten als verwundbar. Bei betreuten Kundensites ist ein aktivierter Auto-Update-Schalter für dieses Plugin die verlässlichste Absicherung.

Zusätzlich lohnt ein Blick in wp-content/uploads/elementor/forms/ auf jedem Kundensystem. Findet sich dort eine .php-Datei, ist das kein Zufallsfund, sondern ein starkes Kompromittierungs-Signal und gehört mit einer sauberen Ursachenanalyse behandelt, nicht einfach gelöscht. In dem Ordner haben Uploads aus Formularen nichts als PHP verloren.

Für Webdesign-Agenturen ist der Vorfall zugleich ein guter Anlass, die eigene Kundenliste auf Elementor-Pro-Sites systematisch durchzusehen und daraus ein Wartungspaket anzubieten. Wer neue Ansprechpartner mit veralteten WordPress-Websites sucht, findet passende Webdesign-Leads mit findflix.