Veröffentlicht am 04.09.2026
Ein nicht angemeldeter Angreifer, eine öffentlich erreichbare Kontaktseite mit Datei-Upload – und am Ende die komplette Kontrolle über Ihre WordPress-Website: Genau dieses Szenario ermöglicht eine kritische Schwachstelle in Elementor Pro, dem weit verbreiteten kostenpflichtigen Seitenbaukasten für WordPress. Die Sicherheitsfirma Wordfence bewertet die Lücke mit dem höchstmöglichen Schweregrad und drängt Betreiber, unverzüglich zu handeln. Wer eine ältere Version einsetzt und ein bestimmtes Formularfeld nutzt, sollte jetzt weiterlesen – und danach zügig aktualisieren.
Unter der Kennung CVE-2026-32475 wurde eine kritische Sicherheitslücke in Elementor Pro öffentlich gemacht. Betroffen sind alle Versionen bis einschließlich 4.2.1. Die behobene Version 4.2.2 ist am 19. August 2026 erschienen. Wordfence veröffentlichte seinen technischen Bericht am 20. August 2026 und empfiehlt darin das sofortige Update.
Der Kern des Problems: Eine sogenannte Arbitrary-File-Upload-Schwachstelle – also eine Lücke, die das Hochladen beliebiger Dateien erlaubt. Konkret können Angreifer die Dateiprüfung von Elementor-Pro-Formularen umgehen und ausführbare PHP-Dateien auf den Server bringen. PHP ist die Programmiersprache, in der WordPress läuft; wer eine eigene PHP-Datei auf einen Server schmuggeln und ausführen kann, kann dort im Grunde beliebige Befehle absetzen.
Das Ergebnis nennt Wordfence-Sicherheitsforscher István Márton unmissverständlich:
„This vulnerability makes it possible for unauthenticated attackers to upload arbitrary files, including executable PHP files, to a vulnerable site, which can lead to remote code execution and complete site takeover.“ (István Márton, Wordfence)
Übersetzt: Nicht angemeldete Angreifer – also ohne jedes Benutzerkonto und ohne Passwort – können beliebige Dateien inklusive ausführbarer PHP-Dateien hochladen. Das kann zu Remote Code Execution (Ausführung von Schadcode aus der Ferne) und zur vollständigen Übernahme der Website führen. Genau diese Kombination – keine Anmeldung nötig, hoher möglicher Schaden – macht die Lücke so gefährlich. Wordfence bewertet sie mit einem CVSS-Wert von 9,8, der CNA Patchstack meldete an die NVD-Datenbank einen Wert von 9,0. Beide Werte liegen im kritischen Bereich (die Skala reicht bis 10).
Die Schwachstelle liegt im Formular-Modul von Elementor Pro, genauer im Datei-Upload-Feld. Patchstack beschreibt die Ursache so:
„The flaw lives in the Forms module's File Upload field, where the extension check and the file-move step run in two separate loops with different handling of empty file entries.“ (Patchstack)
Vereinfacht gesagt passiert Folgendes: Elementor prüft hochgeladene Dateien in einer ersten Schleife (der Funktion Upload::validation()) und verschiebt sie später in einer zweiten Schleife (process_field()) an ihren Speicherort. Beide Schleifen gehen aber unterschiedlich mit „leeren“ Einträgen um.
Wenn ein Datei-Upload-Feld nicht als Pflichtfeld markiert ist, kann der erste Eintrag im Upload leer sein (technisch: UPLOAD_ERR_NO_FILE). In der Prüfschleife führt so ein leerer erster Eintrag dazu, dass die gesamte Prüfung abgebrochen wird (mit einem return), statt nur diesen einen Eintrag zu überspringen (was ein continue tun würde). Die Folge: Für alle nachfolgenden Dateien desselben Feldes entfällt die Kontrolle der Dateiendung und des Dateityps.
Die zweite Schleife dagegen überspringt nur den leeren Eintrag und verschiebt die nachfolgende – jetzt ungeprüfte – Datei brav an ihren Zielort. Die vom Angreifer mitgeschickte Endung bleibt dabei erhalten. So landet eine .php-Datei im öffentlich erreichbaren Verzeichnis /wp-content/uploads/elementor/forms/. Bei entsprechender Serverkonfiguration lässt sie sich anschließend einfach über den Browser aufrufen und ausführen.
Der Angriff erfolgt über das öffentlich erreichbare AJAX-Formular (die Technik, mit der Formulare Daten im Hintergrund an den Server senden) und erfordert laut Wordfence und Patchstack keine Anmeldung. Die NVD-Datenbank ordnet die Lücke der Kategorie CWE-434 zu – „unbeschränkter Upload von Dateien mit gefährlichem Typ“.
Wordfence schätzt die Reichweite von Elementor Pro auf rund 6.000.000 aktive Installationen. Wichtig zur Einordnung: Diese Zahl beschreibt die potenzielle Verbreitung des Plugins – nicht die Zahl der tatsächlich angreifbaren, exponierten oder gar bereits kompromittierten Websites. Die Quellen nennen ausdrücklich keine Zahl real betroffener Websites oder Datensätze.
Ausnutzbar ist die Lücke nämlich nur unter zwei zusammentreffenden Bedingungen:
Fehlt diese konkrete Formularkonfiguration, ist die beschriebene Angriffsvoraussetzung nicht erfüllt. Das Update sollten Sie aber trotzdem durchführen, denn die verwundbare Programmversion bleibt sonst installiert.
Wird die Lücke bereits aktiv ausgenutzt? Zum Stichtag 22. August 2026 fand sich in den geprüften Advisories kein Nachweis einer aktiven Ausnutzung und kein funktionsfähiger öffentlicher Exploit. Auch der KEV-Katalog der US-Behörde CISA (eine Liste bekanntermaßen ausgenutzter Schwachstellen) enthielt keinen Eintrag. Das ist ausdrücklich keine Entwarnung, sondern nur der belastbar formulierte Status der Quellen. Da die technische Eintrittshürde niedrig und der mögliche Schaden hoch ist, bleibt schnelles Handeln geboten.
wp-content/uploads/elementor/forms/ auf unerwartete Dateien – besonders auf solche mit der Endung .php. Patchstack betont: Ein Update entfernt einen bereits erfolgreichen Upload nicht.wp-content/uploads/elementor/forms/ auf nicht erwartete Dateien, besonders .php. Bei Befunden behandeln Sie Website, Zugänge und Server forensisch – ein reines Plugin-Update beseitigt keine bereits abgelegte Datei.Die Schwachstelle allein – und auch eine bloß verspätete Aktualisierung – ist nicht automatisch eine meldepflichtige Datenschutzverletzung. Kritisch wird es dann, wenn Angreifer über die kompromittierte Website personenbezogene Daten unbefugt einsehen, verändern, löschen oder abziehen konnten. Da Elementor-Formulare typischerweise Kontaktdaten, Bewerbungen oder Anfragen entgegennehmen, ist dieses Szenario im Ernstfall keineswegs abwegig.
Nach Art. 33 DSGVO muss der Verantwortliche eine solche Verletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden, sofern voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Die Bundesbeauftragte für den Datenschutz (BfDI) formuliert das so:
„Jede Datenpanne, die die Rechte und Freiheiten natürlicher Personen bedroht, muss innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden.“ (BfDI)
Bei voraussichtlich hohem Risiko verlangt Art. 34 DSGVO zusätzlich die unverzügliche Benachrichtigung der betroffenen Personen, soweit keine gesetzliche Ausnahme greift. Art. 32 DSGVO fordert angemessene technische und organisatorische Maßnahmen – zu denen das zeitnahe Einspielen von Sicherheitsupdates zählt. Für Verstöße gegen die Art. 32 bis 34 nennt Art. 83 Abs. 4 DSGVO einen abstrakten Höchstrahmen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist.
Dieser Höchstrahmen ist keine Prognose eines Bußgelds. Der konkrete Einzelfall hängt insbesondere von Datenarten, Umfang, vorhandenen Nachweisen, der Reaktion und den ergriffenen Maßnahmen ab. Eine unmittelbar vergleichbare, amtlich veröffentlichte deutsche Bußgeldentscheidung zu einer ungepatchten WordPress-Pluginlücke ist in den geprüften Quellen nicht belegt.
Der Fall reiht sich in einen breiteren Trend ein. Patchstack zählte im gesamten WordPress-Ökosystem für 2025 insgesamt 11.334 neue Schwachstellen – 42 % mehr als 2024. Die Zahl hochgradig ausnutzbarer Schwachstellen stieg laut derselben Quelle um 113 %, und 46 % der Schwachstellen waren bis zur öffentlichen Offenlegung nicht rechtzeitig behoben. Diese Werte sind Gesamtstatistiken und beziehen sich nicht speziell auf Elementor Pro oder CVE-2026-32475 – sie zeigen aber, wie wichtig ein diszipliniertes Update-Management für Website-Betreiber ist.
Wie ernst solche Upload-Lücken in der Praxis werden können, zeigt ein klar getrennter Vergleichsfall aus der Vergangenheit: Für CVE-2023-5360 im Plugin „Royal Elementor Addons and Templates“ berichtete Wordfence am 13. Oktober 2023 über aktive Ausnutzung und mehr als 46.169 blockierte Angriffe innerhalb von 30 Tagen. Das war ein anderes Plugin und eine andere CVE – es belegt nicht, dass CVE-2026-32475 aktiv ausgenutzt wird. Es illustriert lediglich, wie schnell Angreifer bei bekannt gewordenen Datei-Upload-Lücken loslegen können, sobald sich eine Gelegenheit bietet.
CVE-2026-32475 ist eine kritische Schwachstelle mit einer gefährlichen Eigenschaft: Sie lässt sich ohne Anmeldung ausnutzen und kann im Ernstfall zur vollständigen Übernahme der Website führen. Die gute Nachricht: Es gibt einen fertigen Patch, und die Angriffsvoraussetzungen sind eng umrissen – betroffen sind Elementor Pro bis 4.2.1 in Kombination mit einem veröffentlichten Formular, das ein optionales Datei-Upload-Feld enthält.
Handeln Sie in dieser Reihenfolge: Version prüfen, auf 4.2.2 oder neuer aktualisieren, Formulare kontrollieren und – falls Sie zuvor exponiert waren – das Upload-Verzeichnis auf verdächtige PHP-Dateien untersuchen. Denn ein Update schließt zwar die Tür für neue Angriffe, entfernt aber keine Datei, die ein Angreifer möglicherweise schon abgelegt hat. Wer diese Schritte konsequent geht und dokumentiert, minimiert nicht nur das technische Risiko, sondern erfüllt auch seine Sorgfaltspflichten nach Art. 32 DSGVO. Für einen Vorgang, der in wenigen Minuten erledigt ist, ist das ein sehr guter Tausch.