Elementor Pro: Kritische Datei-Upload-Lücke wird aktiv ausgenutzt, 4.2.2 stopft CVE-2026-32475

Die Sicherheitsforscher von Wordfence berichten, dass Angreifer eine kritische Lücke im Page Builder Elementor Pro aktiv ausnutzen. Die Schwachstelle mit der Kennung CVE-2026-32475 erlaubt es unauthentifizierten Angreifern, beliebige Dateien hochzuladen und dadurch Schadcode auf dem Server auszuführen. Der Anbieter hat den Fehler am 19. August 2026 mit Version 4.2.2 geschlossen, alle Versionen bis einschließlich 4.2.1 sind verwundbar. Elementor Pro läuft laut Wordfence auf über sechs Millionen aktiven Installationen.

Was die Lücke technisch macht

Der Fehler steckt in der Funktion process_field, die das Hochladen von Dateien über Elementor-Pro-Formularfelder verarbeitet. In der Funktion Upload::validation() steckt eine fehlerhafte Validierungsschleife: sie stoppt nicht sauber, wenn eine Datei einen unerlaubten Typ hat. Über diesen Weg lassen sich Dateien hochladen, die als ausführbar interpretiert werden können, im schlimmsten Fall PHP. Wer das schafft, hat Remote Code Execution auf der Seite. Patchstack stuft die Lücke als „Arbitrary File Upload“ mit hoher Kritikalität ein, Wordfence nennt einen CVSS-Base-Score von 9.8 (kritisch).

Voraussetzung für einen erfolgreichen Angriff ist, dass die Seite ein Elementor-Pro-Formular veröffentlicht hat, in dem mindestens ein Datei-Upload-Feld existiert, das nicht als Pflichtfeld markiert ist. Zwei Bedingungen, die auf sehr viele Kontaktformulare und Bewerbungsseiten zutreffen.

Wer die Lücke gefunden hat und wie sie jetzt ausgenutzt wird

Entdeckt und verantwortungsvoll gemeldet wurde die Schwachstelle von Tin Pham (TF1T) von VietSunshine Cyber Security Services über das Patchstack-Bug-Bounty-Programm. Der Hersteller veröffentlichte parallel zur Meldung am 19. August 2026 die gepatchte Version 4.2.2. Wordfence hat den Angriffscode inzwischen in freier Wildbahn beobachtet und warnt öffentlich davor. Der WordPress-Blogger Günter Born verweist zusätzlich auf einen konkreten Vorfall Anfang September, bei dem ein Angreifer über ein ungepatchtes Formular Spam-Dateien einschleusen konnte, ein Muster, das für die Lücke typisch ist.

Was das für Webdesigner bedeutet

Elementor Pro ist der meistverbreitete Premium-Page-Builder für WordPress. Wer als Agentur oder Freelancer Kundenseiten damit baut, hat mit hoher Wahrscheinlichkeit eine oder mehrere betroffene Installationen im Portfolio. Der Angriff ist unauthentifiziert, das heißt der Angreifer braucht keinen Login. Er braucht nur eine öffentliche URL mit einem Kontaktformular, das ein optionales Upload-Feld enthält. Solche Formulare stehen auf sehr vielen Kundenseiten, von Bewerbungs- bis zu Reklamationsformularen.

Kritisch ist auch die Nachbetreuung. Automatische Updates sind für Premium-Plugins wie Elementor Pro nicht überall aktiviert, und wer Kunden ohne Wartungsvertrag hostet, sieht den Patch-Stand nicht. Genau deshalb sind ungepatchte Installationen jetzt, drei Wochen nach dem Fix, immer noch das Hauptziel.

Was heute konkret zu tun ist

• Version prüfen: in jeder Kundeninstallation unter Plugins nachsehen, ob Elementor Pro auf mindestens 4.2.2 läuft.
• Sofort aktualisieren: bei allem darunter Update einspielen und Kunde informieren. Der Patch ist reibungslos, keine Breaking Changes gemeldet.
• Formulare checken: alle Elementor-Pro-Formulare mit Datei-Upload-Feld daraufhin ansehen, ob das Feld als „required“ markiert ist. Falls nicht, entweder auf Pflicht setzen oder das Feld entfernen, bis der Patch live ist.
• Kompromittierung suchen: auf betroffenen Sites den Upload-Ordner (wp-content/uploads/) auf unerwartete PHP-Dateien prüfen und Access-Logs der letzten drei Wochen auf verdächtige POST-Requests auf Formular-Endpunkte durchgehen.
• Automatische Updates aktivieren: für Elementor Pro und andere sicherheitskritische Plugins, damit die nächste Lücke keinen dreiwöchigen Vorsprung mehr hat.

Wer als Agentur regelmäßig Webdesign-Kunden gewinnen und pflegen will, findet in der findflix-Übersicht zu Webdesign-Leads Hintergrund und Werkzeuge dazu.