Untergrundforum verkauft WordPress-Zero-Day für 400 Dollar: 30.000 Sites betroffen, Angriffsvektor ist unauthentifizierter Mailversand

In einem geschlossenen Cybercrime-Forum wird laut einem Bericht von Börse Express derzeit ein Zero-Day-Exploit für ein WordPress-Plugin gehandelt, der nach Angaben des Verkäufers rund 30.000 Websites gleichzeitig angreifbar macht. Der Aufrufpreis liegt bei nur 400 US-Dollar. Damit ordnet sich das Angebot in eine Marktentwicklung ein, die Sicherheitsforscher seit dem Frühjahr beobachten: Zero-Day-Preise im WordPress-Umfeld fallen, weil KI-gestützte Codeanalyse die Suche nach Lücken beschleunigt hat.

Als Kernfunktion nennt der Foren-Eintrag den unauthentifizierten Mailversand über kompromittierte Websites. Ein Angreifer benötigt also weder Login noch bestehende Nutzerrolle, um über die betroffenen Installationen E-Mails hinauszuschicken. Genau dieser Angriffsvektor macht Zero-Days im SMTP-Kontext auf dem Untergrundmarkt attraktiv, weil sich damit Phishing- und Spam-Kampagnen unter fremder Domain-Reputation ausrollen lassen. Wordfence hatte bereits Anfang Juni die Ausnutzung der Lücke CVE-2026-4020 im Plugin Gravity SMTP dokumentiert, dort wurden über 17 Millionen Angriffsversuche gezählt und Konfigurations-Secrets samt OAuth-Token abgegriffen.

Ob das aktuelle Angebot dieselbe Lücke recycelt, ein Nachfolge-Zero-Day in einem verwandten Plugin ist oder ein bislang unbekanntes Ziel adressiert, lässt sich derzeit nicht sicher sagen: Der Verkäufer nennt weder Plugin-Name noch CVE-Kennung, und auch Börse Express weist ausdrücklich darauf hin, dass die technischen Details unbestätigt sind. Autor Dr. Robert Sasse zitiert den Foren-Post so: „Ein wesentliches Merkmal der angebotenen Sicherheitslücke ist laut der Foren-Anzeige die Möglichkeit, über kompromittierte Websites unauthentifiziert E-Mails zu versenden.“

Warum der Preis so tief liegt

400 US-Dollar sind für einen Zero-Day mit fünfstelliger Site-Reichweite ungewöhnlich wenig. Historisch wurden vergleichbare Angebote im vier- bis fünfstelligen Bereich gehandelt, ein Beispiel aus 2024 rief für einen WordPress-Zero-Day gegen 110.000 Websites noch 10.000 US-Dollar auf. Der Trend nach unten ist inzwischen dokumentiert: Help Net Security berichtete im Mai 2026 unter dem Titel „20 Dollar pro Zero-Day“ über eine Marktbeobachtung, nach der KI-Findungspipelines das Angebot an frischen Plugin-Lücken drastisch erhöht haben. Sasse deutet den niedrigen Preis so, dass „der Verkäufer auf eine schnelle Monetarisierung abzielt“. Für Käufer bedeutet das: die Halbwertszeit einer solchen Lücke ist kurz, sie muss vor dem Patch skaliert werden.

Was das für Webdesigner und Agenturen bedeutet

Auch ohne bekannten Plugin-Namen lassen sich drei konkrete Prüfschritte sofort umsetzen, weil das Muster klar ist. Erstens: alle installierten SMTP- und Mail-Plugins auf den neuesten Stand bringen, insbesondere Gravity SMTP, WP Mail SMTP, Easy WP SMTP, Post SMTP, FluentSMTP. Zweitens: die letzten sieben Tage Mail-Logs des jeweiligen Hosters gegen einen Anstieg ausgehender Nachrichten prüfen, plötzliche Volumenspitzen sind der zuverlässigste Frühindikator für einen Missbrauch als Mail-Relay. Drittens: die Domain-Reputation aktiv beobachten, etwa über Google Postmaster Tools und Blocklisten wie Spamhaus, weil eine gekaperte Site die Sender-Reputation der gesamten Kunden-Domain kippen kann.

Wer als Agentur mehrere WordPress-Installationen betreut, sollte diesen Fall zum Anlass nehmen, die eigene Betriebsroutine zu überprüfen: automatische Plugin-Updates, verpflichtender WAF-Vorschalter, ein Monitoring, das auch stille Nebenwirkungen wie Mailversand-Anomalien sieht. Das ist genau die Sorgfaltspflicht, die im Kundenauftrag oft mitgekauft wird, aber selten sichtbar gemacht wird.

Für Agenturen, die aus solchen Sicherheits-Anlässen aktiv Wartungs- oder Relaunch-Aufträge entwickeln wollen, sammelt findflix passende Webdesign-Leads mit veralteten Websites direkt aus der eigenen Region.

Kurz gefasst

• Foren-Angebot: Zero-Day-Exploit gegen ein nicht genanntes WordPress-Plugin, 30.000+ Sites, Preis 400 US-Dollar.
• Angriffsvektor: unauthentifizierter E-Mail-Versand über gekaperte Installationen.
• Plugin-Name und CVE derzeit unbestätigt, Quelle nennt keine technischen Details.
• Kontext: CVE-2026-4020 in Gravity SMTP wurde seit Juni millionenfach angegriffen, die Preise für Plugin-Zero-Days fallen deutlich.
• Sofort tun: SMTP-Plugins patchen, ausgehende Mail-Logs prüfen, Domain-Reputation überwachen.