WPML Multilingual CMS, eines der beliebtesten Plugins für mehrsprachige WordPress-Websites, hatte eine Schwachstelle, über die ein angemeldeter Benutzer mit sehr geringen Rechten sensible Informationen aus der Datenbank auslesen konnte. Betroffen sind Versionen bis einschließlich 4.9.5. Das ist ein gutes Beispiel dafür, warum die Einstufung „Medium“ bei einer CVE nicht automatisch bedeutet, dass man das Thema ignorieren kann.

Was genau war falsch?

CVE-2026-17509 beschreibt eine SQL-Injection-Schwachstelle im Parameter elementIds. SQL Injection bedeutet, dass vom Benutzer gelieferte Daten so in eine Datenbankabfrage gelangen, dass deren Bedeutung verändert werden kann. Statt nur die von der Anwendung vorgesehene Abfrage auszuführen, kann die Datenbank dazu gebracht werden, zusätzliche Informationen offenzulegen.

In diesem Fall entstand das Problem durch unzureichende Absicherung der Eingabedaten und eine nicht korrekt vorbereitete SQL-Abfrage. Der CVE-Eintrag beschreibt einen zeitbasierten SQL-Injection-Angriff. Ein Angreifer bekommt also nicht sofort eine sauber aufbereitete Tabelle mit Datenbankinhalten. Stattdessen konstruiert er Abfragen und beobachtet die Antwortzeit des Servers. Aus diesen Unterschieden lassen sich Informationen Schritt für Schritt rekonstruieren.

Der interessanteste Teil dieser Lücke steckt nicht im SQL

Die Möglichkeit zur SQL Injection war mit einem zweiten Fehler verbunden. Laut der im CVE-Eintrag veröffentlichten Wordfence-Beschreibung wurde der für die Autorisierung zuständige Callback nicht korrekt ausgeführt. Dadurch wurden administrative Funktionen rund um Übersetzungen für jeden authentifizierten Benutzer erreichbar, unabhängig von seiner Rolle.

WebsiteGarage / Leistungen

Entdecke unsere Leistungen.

Als minimale Berechtigungsstufe nennt die CVE die Rolle Subscriber, also eine der niedrigsten Standardrollen in WordPress. Für den Angriff musste weder ein Administrator- noch ein Redakteurskonto übernommen werden.

Das bedeutet nicht, dass jede Website mit WPML ein gleich leichtes Ziel war. Der Angriff erforderte weiterhin ein angemeldetes Konto, und nicht jede Website erlaubt Benutzern, selbst Konten anzulegen. Auf Websites mit Benutzerregistrierung lag die Einstiegshürde jedoch deutlich niedriger als bei einer typischen Schwachstelle, die Administratorrechte voraussetzt.

Betroffen sind Versionen bis einschließlich 4.9.5

Der offizielle CVE-Eintrag nennt alle Versionen von WPML Multilingual CMS bis einschließlich 4.9.5 als verwundbar. Neuere Versionen liegen außerhalb des Bereichs dieser Schwachstelle. Wenn eine Website noch mit 4.9.5 oder älter läuft, sollte WPML auf die neueste für diese Installation verfügbare Version aktualisiert werden.

Bei großen, mehrsprachigen Websites kann ein WPML-Update komplexer sein als ein einzelner Klick, weil das Plugin mit Übersetzungen, Inhaltstypen, WooCommerce und anderen Erweiterungen verknüpft ist. Das ändert nichts an der Priorität der Korrektur, spricht aber für ein Backup und einen Test auf Staging, statt das Update auf unbestimmte Zeit zu verschieben.

Mehr als 1,5 Millionen Websites verändern die Größenordnung des Problems

WPML selbst gibt an, dass seine Software auf mehr als 1,5 Millionen Websites läuft. Diese Zahl sagt natürlich nicht, wie viele davon genau die betroffenen Versionen nutzten oder Benutzerkonten zur Selbstregistrierung erlaubten. Sie zeigt aber, dass es hier nicht um ein Nischen-Plugin mit einigen Hundert Installationen geht.

Genau deshalb lohnt es sich, über den CVSS-Wert von 6,5/10 und die Einstufung Medium hinauszuschauen. Die technische Bewertung berücksichtigt unter anderem, dass der Angriff eine Authentifizierung voraussetzt und sich vor allem auf die Vertraulichkeit von Daten auswirkt. In der Praxis hängt die Bedeutung aber auch von der Zahl der Installationen, der Art der Kontoerstellung und den Informationen ab, die eine konkrete WordPress-Installation speichert.

Wird die Schwachstelle aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung des Eintrags gibt es keine Grundlage für die Behauptung, dass bereits eine Angriffswelle läuft. Die der CVE beigefügten CISA-Daten kennzeichnen den Exploitationsstatus als „none“. Diese Unterscheidung ist wichtig: Es gibt eine öffentlich beschriebene Schwachstelle und einen bekannten Angriffsmechanismus, aber das ist nicht dasselbe wie eine bestätigte aktive Kampagne.

Dass derzeit keine bekannte Ausnutzung vorliegt, ist jedoch kein Grund, eine verwundbare Version weiterlaufen zu lassen. Die öffentliche Beschreibung senkt den Aufwand für die Vorbereitung eines Angriffs, und ein Update schließt die Lücke, ohne auf die erste Schlagzeile über reale Einbrüche warten zu müssen.

Kommentar von WebsiteGarage

Diese Schwachstelle zeigt zwei Dinge sehr gut. Erstens endet WordPress-Sicherheit nicht bei der Frage „Kann jemand in das Administrator-Panel gelangen?“. Wenn ein gewöhnliches Konto Funktionen erreichen kann, die administrativ sein sollten, kann der Schaden an einer ganz anderen Stelle entstehen.

Zweitens ist der CVSS-Wert nicht automatisch die geschäftliche Priorität. 6,5 wirkt ruhiger als 9,8, aber bei einem Plugin, das auf mehr als 1,5 Millionen Websites eingesetzt wird und das Auslesen von Daten aus der Datenbank ermöglichen kann, ist das weiterhin ein Update, das man nicht aufschieben sollte. Ohne Panik und ohne Geschichten über eine Massenkampagne, die bislang nicht bestätigt ist. Einfach Version prüfen, aktualisieren und das Thema schließen.