Forminator Forms 1.56.2 stopft kritische Upload-Lücke: 600.000 WordPress-Sites brauchen jetzt das Update

WPMU DEV hat am 31. Juli mit Forminator Forms 1.56.2 einen kritischen Bug gepatcht, der etwa 600.000 aktive Installationen betrifft. Über die Upload-Funktion des Plugins können nicht angemeldete Angreifer PHP-Code auf den Server schmuggeln und ausführen, sobald ein Formular eine bestimmte Feldkombination enthält. Wordfence führt die Lücke als CVE-2026-15748 mit einem CVSS-Score von 9,8 im kritischen Bereich.

Wie die Lücke funktioniert

Der Bug sitzt in der Funktion handle_file_upload(). Sie prüft hochgeladene Dateien gegen eine Blocklist gefährlicher Endungen, der Vergleich verlangt dabei einen exakten Schlüsseltreffer. Über Pipe-Alternativen bei MIME-Type-Schlüsseln lässt sich diese Prüfung umgehen. Zusätzlich vertraut der Handler den Feldkonfigurationen aus dem Request. Ein Angreifer kann daher ein gefälschtes Select-Feld mitschicken, das den Upload in ein Zielverzeichnis seiner Wahl lenkt.

Fatal wird die Kombination auf Sites, deren Upload-Ordner die PHP-Ausführung nicht per .htaccess deaktivieren. Dann liegt die eingeschleuste Datei direkt ausführbar auf dem Server, ein einziger HTTP-Request reicht danach für die volle Übernahme.

Wer verwundbar ist

Betroffen sind alle Installationen mit Forminator Forms in Version 1.56.1 oder älter. Für eine erfolgreiche Ausnutzung muss auf der Website ein Formular veröffentlicht sein, das sowohl ein File-Upload, als auch ein Select-Feld enthält. Ohne diese Kombination läuft der Angriff ins Leere, allein durch die Verbreitung des Plugins bleibt die Angriffsfläche aber groß.

Zeitlich lief die Sache so ab: Am 14. Juli 2026 validierte Wordfence den Bericht des Forschers daroo aus seinem Bug-Bounty-Programm mit 2.048 US-Dollar Prämie und benachrichtigte am selben Tag WPMU DEV. Am 31. Juli erschien die gepatchte Version 1.56.2, am 17. August machte Wordfence die Details öffentlich.

Was heute konkret zu tun ist

Jede WordPress-Site mit Forminator gehört jetzt kontrolliert. Konkret:

• Version prüfen und updaten: Unter Plugins, Installierte Plugins die installierte Forminator-Version ablesen. Alles unter 1.56.2 sofort auf 1.56.2 oder neuer aktualisieren, danach jedes Formular kurz gegentesten.
• Risikoformulare identifizieren: In den Forminator-Formularen nach der Kombination aus Upload und Select-Feld suchen, das ist die konkrete Angriffsfläche. Wo möglich, temporär auf reine Textformulare umstellen, bis das Update draufliegt.
• Upload-Ordner härten: Auch nach dem Patch ist es klug, in den Forminator-Upload-Verzeichnissen eine .htaccess mit php_flag engine off zu hinterlegen. So bleibt selbst eine hochgeladene .php-Datei ein reines Ablage-Artefakt und wird nicht ausgeführt.
• Nach Spuren suchen: Wer eine Kompromittierung nicht ausschließen kann, sollte die Upload-Ordner nach unerwarteten .php-Dateien absuchen und die Serverlogs auf ungewöhnliche POST-Requests gegen admin-ajax.php mit Forminator-Actions prüfen.

Für Agenturen ist so ein Vorfall auch eine Gelegenheit für einen kurzen Kundenkontakt. Ein knapper Hinweis, dass die Kunden-Site heute proaktiv gegen die neue Forminator-Lücke gepatcht wurde, ist genau der Unterschied zwischen einer Agentur, die reagiert wenn es brennt, und einer, die Verantwortung übernimmt. Wenn du zusätzlich zu deinen Bestandskunden aktiv neue Aufträge suchst, findest du bei findflix für Webdesign-Leads lokale Unternehmen mit veralteten Websites in deiner Region.