All-in-One WP Migration: Sicherheitslücke kann über manipulierte Archive bis zur Codeausführung führen
-
Letzte Funksprüche zeigen Kontrollverlust vor Learjet-Absturz in Florida
-
Der Begriff „migrantisches Milieu“ belebt die Stadtbild-Debatte neu
-
Europas digitale Finanzinfrastruktur soll unabhängiger und robuster werden
-
Raiffeisen Bank International muss den geplanten Addiko-Deal neu strukturieren
-
Dobrindts Äußerung über „Chaoten“ löst Kritik von Grünen und Linken aus
-
Mehr als 1000 Berliner SPD-Mitglieder wenden sich gegen Rot-Grün-Rot um jeden Preis
-
Sachsen-Anhalts CDU ringt um Konsequenzen aus einem umstrittenen Papier
-
Niko Ilicevic stellt mit 16 Jahren den Bundesliga-Altersrekord ein
-
Der Berliner Gendarmenmarkt erzählt von französischer Einwanderung und Wandel
-
Kapstadts Konflikt mit Pavianen verschärft sich in wohlhabenden Vororten
-
NFL-Katastrophenangst: Helikopter fliegt direkt in Feuerwerk
-
Deutschland sucht beim Digitalgipfel nach eigenen Stärken in der KI
-
Geplante Verschärfung des Sexualstrafrechts zielt auf heimliche Aufnahmen
-
Pflegeversicherung steht trotz angekündigter Reform weiter unter Finanzdruck
-
Digitales Zeitungsabo für Unternehmen: Vorteile und Buchung von Abendblatt PLUS
-
Trump-Wähler in New York ziehen vor den Midterms eine neue Bilanz
-
ADHS erhöht Risiko für leichte kognitive Störungen im Alter
-
Rauch aus Indonesien belastet erneut Luft und Klima in Südostasien
-
Deutsche U23-Boxmeisterschaft startet in Frankfurt
-
Debatte nach Ausschreitungen richtet sich erneut gegen ein „migrantisches Milieu“
-
Stress bei jungen Menschen: Soziale Isolation als häufige Reaktion
-
Microsoft Purview und Securiti AI: Automatisierter Schutz sensibler Daten
-
Ermittler untersuchen steilen Absturz eines Learjet 60 in Florida
-
Verlosung: Tickets für Mendelssohn-Konzert, 80er-Party und Bonaparte gewinnen
-
Sean Combs soll früher als bislang erwartet aus der Haft entlassen werden
-
Jochen Seitz fordert Auflösung der Regionalliga Bayern
-
Unfall in Schwenningen endet mit einem Audi auf einem zweiten Wagen
-
Neue Ausstellung im Naturkundemuseum Leipzig: Archäologischer Krimi um Brandspuren
-
Funkaufnahmen dokumentieren die letzten Minuten des abgestürzten Learjets
-
Erdnüsse senken Cholesterin leicht und fördern keine Gewichtszunahme
-
Ukraine, Russland und USA planen zweitägige Gespräche in Abu Dhabi
-
Webcast zur Virtualisierung: VMware, Proxmox und Cloud-native Strategien
-
Hertha BSC bereitet sich auf Wolfsburg vor: Fabian Reese kehrt zurück
-
Mutter entdeckt Nähnadel in verpacktem Halloween-Bonbon
-
CDU-Kreisvorsitzende Schrade kritisiert Parteiführung in Ronzheimer-Podcast
-
STUTS dokumentiert seit 50 Jahren soziale Realität in Berlin
-
Technikfolgenforscher warnt vor digitaler Abhängigkeit und Konzernmacht
-
Kreatinin-basierte eGFR unterschätzt Nierenfunktionsstörungen bei Krebspatienten
-
Kreuzfahrtschiff MV Odyssey wird zum Symbol für Luxus und Ungleichheit
-
Der extreme Reichtum einer kleinen Minderheit wächst weiter
-
BGH bestätigt Rechtsweggarantie: Usmanow darf EU-Rat wegen Verleumdung verklagen
-
Deutschlands Wirtschaft verliert weiter an Gewicht und Einfluss
-
Staatsbesuch Selenskyjs in Berlin: Massive Verkehrseinschränkungen und Sperrungen
-
Sturm der Liebe-Vorschau: Larissas Plan, Massimos Vater und Abschied vom Fürstenhof
-
Kubas Westen bereitet sich auf einen herannahenden Wirbelsturm vor
-
Spülschwamm als Keimherd: Warum die Bürste hygienischer ist
-
Politik reagiert mit Repressionsforderungen auf Proteste der Generation Z
-
USA kündigen neue Ukraine-Gespräche mit Kiew und Moskau in Abu Dhabi an
-
Manipulierte Kühlanlagen treffen Supermärkte in mehreren europäischen Ländern
-
Trump rückt vor den US-Zwischenwahlen die Sanierung des Reflecting Pool in den Mittelpunkt
All-in-One WP Migration: Sicherheitslücke kann über manipulierte Archive bis zur Codeausführung führen
Im weit verbreiteten WordPress-Plug-in All-in-One WP Migration and Backup ist eine Sicherheitslücke geschlossen worden. Betroffen sind Versionen bis einschließlich 7.109; Version 7.110 enthält die Korrektur.
Administratoren von WordPress-Websites sollten das Plug-in All-in-One WP Migration and Backup auf Version 7.110 oder neuer aktualisieren. Eine als hoch eingestufte Schwachstelle kann unter bestimmten Bedingungen über die Wiederherstellung eines manipulierten Archivs zur Ausführung von Schadcode auf dem Server führen.
Die Lücke wird als CVE-2026-19949 geführt und mit einem CVSS-Wert von 8,8 bewertet. Technisch handelt es sich um eine sogenannte Second-Order-SQL-Injection. Dabei wird eine schädliche Eingabe zunächst in einem Archiv platziert und erst später aktiv, wenn ein Administrator dieses Archiv über die Wiederherstellungsfunktion verarbeitet.
Durch unzureichendes Escaping und eine nicht ausreichend vorbereitete SQL-Abfrage können zusätzliche Datenbankbefehle eingeschleust werden. Sicherheitsforscher beschreiben als mögliches Angriffsziel den internen Schlüssel „ai1wm_secret_key“. Gelangt dieser in die Hände eines Angreifers, kann er für weitere Zugriffe auf Restore-Funktionen missbraucht werden und schließlich eine entfernte Codeausführung ermöglichen.
Die Schwachstelle betrifft Version 7.109 und älter. Der Hersteller ServMask veröffentlichte am 20. August 2026 die korrigierte Version 7.110. Das Plug-in kommt nach Angaben einschlägiger Sicherheitsdatenbanken auf rund fünf Millionen aktiven WordPress-Installationen.
Der Angriff setzt voraus, dass ein entsprechend präpariertes Archiv tatsächlich von einem Administrator wiederhergestellt wird. Betreiber sollten deshalb nicht nur aktualisieren, sondern auch keine Archive aus unbekannten oder nicht vertrauenswürdigen Quellen importieren. Für bereits mit einer älteren Version eingespielte Fremdarchive empfiehlt sich eine Kontrolle auf verdächtige Nutzerkonten, neue PHP-Dateien und andere Hinweise auf Manipulation.
A.Jones--AMWN