Veröffentlicht am 17.07.2026
Über eine Million WordPress-Websites nutzen das Caching-Plugin W3 Total Cache – und viele davon lassen sich derzeit von völlig unbekannten Angreifern aushebeln. Eine als CVE-2026-9282 registrierte Sicherheitslücke erlaubt es, ohne jede Anmeldung beliebige Dateien vom Server auszulesen. Das gefährlichste Ziel: die Datei wp-config.php, in der die Datenbankzugangsdaten und die geheimen Sicherheitsschlüssel Ihrer WordPress-Installation stehen. Wer diese Datei in die Hände bekommt, kann im schlimmsten Fall die komplette Website übernehmen.
Seit dem 14. Juli 2026 kursiert zudem ein öffentlicher Exploit – also fertiger Angriffscode, mit dem sich die Lücke ausnutzen lässt. Wenn Sie W3 Total Cache in der Version 2.9.4 oder älter einsetzen, sollten Sie deshalb nicht bis morgen warten. Dieser Artikel erklärt, was genau passiert ist, wie Sie prüfen, ob Sie betroffen sind, und welche Schritte Sie jetzt konkret gehen müssen.
W3 Total Cache ist eines der meistgenutzten WordPress-Plugins überhaupt. Es beschleunigt Websites, indem es Inhalte zwischenspeichert und – über die sogenannte Minify-Funktion – CSS- und JavaScript-Dateien zusammenfasst und verkleinert. Genau in dieser Minify-Funktion steckt die Schwachstelle.
Der Fehler ist eine sogenannte Path-Traversal-Lücke (Fachklasse CWE-22, „unzureichende Begrenzung eines Dateipfads auf ein erlaubtes Verzeichnis"). Vereinfacht gesagt: Das Plugin prüft nicht sauber, welche Dateien es überhaupt ausliefern darf. Ein Angreifer kann durch manipulierte Pfadangaben (typischerweise Zeichenfolgen wie ../../../) aus dem erlaubten Verzeichnis „ausbrechen" und sich beliebige andere Dateien vom Server ausliefern lassen.
Die National Vulnerability Database (NVD) stuft die Lücke mit einem CVSS-Wert von 7.5 (HIGH) ein. Der zugehörige technische Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N. Übersetzt bedeutet das:
Die Lücke liegt in der Funktion setupSources() des Minify-Teils von W3 Total Cache. Voraussetzung für den Angriff ist, dass der manuelle Minify-Modus aktiv ist. In diesem Modus legt ein Administrator selbst fest, welche Dateien zusammengefasst werden sollen.
Der Angriff läuft so ab: Ein Angreifer schickt eine ganz normale Anfrage an den Minify-Endpunkt der Website und übergibt darin einen präparierten Dateinamen im Parameter f_array[]. Mit den Pfad-Traversal-Sequenzen umgeht er die Verzeichnisbeschränkung. Damit der Trick funktioniert, muss ein bestimmter Hash-Wert leer sein und die übergebenen Einträge dürfen nicht überschrieben werden, bevor der Code die verwundbare Funktion erreicht. Ist das der Fall, liest das Plugin die gewünschte Datei aus und gibt ihren Inhalt zurück.
Das eigentliche Problem ist, welche Datei sich so auslesen lässt. Die zentrale Konfigurationsdatei wp-config.php enthält:
Mit diesen Informationen kann ein Angreifer laut Analyse des IONIX-Teams direkt auf die Datenbank zugreifen und alle gespeicherten Daten auslesen oder verändern, Anmelde-Cookies fälschen und sich als beliebiger Benutzer – auch als Administrator – anmelden oder Folgeangriffe vorbereiten. IONIX fasst es so zusammen:
„High-value targets include wp-config.php, which stores database credentials and WordPress secret keys." (IONIX Threat Center)
Die technische Detailanalyse von jproxx bringt es auf den Punkt:
„An attacker without an account can thereby read arbitrary files from the server — such as the central configuration file wp-config.php with database credentials and secret keys, from which further attacks can be built." (jproxx Security Bulletin, 11. Juli 2026)
Betroffen sind alle Versionen von W3 Total Cache bis einschließlich 2.9.4. Das Plugin des Herstellers BoldGrid ist laut Wordfence auf rund 900.000 aktiven Installationen im Einsatz und wurde über 64 Millionen Mal heruntergeladen; andere Quellen wie wordpress.org sprechen von über einer Million Websites. Allein in Deutschland dürften damit Zehntausende Websites gefährdet sein.
Wichtig zur Einordnung: Der Angriff funktioniert nur, wenn der manuelle Minify-Modus aktiviert ist. Nicht jede Installation ist also automatisch angreifbar. Bei leistungsoptimierten Websites ist dieser Modus allerdings häufig aktiv – Sie sollten die Einstellung deshalb unbedingt prüfen (siehe unten).
Zum Kontext: W3 Total Cache stand 2026 bereits mehrfach in der Kritik. In der Wordfence-Datenbank sind für das Plugin insgesamt 32 Schwachstellen dokumentiert, davon allein fünf hochgradige (CVSS ≥ 7.5) im Jahr 2026. Kurz vor CVE-2026-9282 wurden unter anderem CVE-2026-57623 (Remote Code Execution, CVSS 8.1) und CVE-2026-27384 (CVSS 9.8) veröffentlicht.
..%2F oder ../ in Parametern oder ungewöhnliche Zugriffe auf /wp-content/cache/minify/.wpscan --url ihre-website.de --enumerate p), um verwundbare Plugins aufzuspüren.Die gute Nachricht: Ein Patch existiert bereits. BoldGrid hat schon am 24. Juni 2026 die Version 2.10.0 als „Security Release" veröffentlicht, die die Lücke schließt. Inzwischen ist die Version 2.10.2 (Stand: 16. Juli 2026) verfügbar. Handeln Sie in dieser Reihenfolge:
wp-config.php und beim Datenbankserver) und neue Secret Keys und Salts über api.wordpress.org/secret-key/1.1/salt/ generieren und in der wp-config.php ersetzen.Dass ein Patch existiert, heißt nicht, dass die Gefahr vorbei ist. Der Sicherheitsanbieter Patchstack liefert eine ernüchternde Zahl:
„The weighted median time to first exploit is 5 hours. This suggests that the most heavily targeted vulnerabilities are typically attacked within hours, not days." (Patchstack, State of WordPress Security in 2026)
Anders gesagt: Zwischen Veröffentlichung einer Lücke und den ersten automatisierten Massenangriffen liegen im Median nur fünf Stunden. Für CVE-2026-9282 wurde am 14. Juli 2026 laut Feedly-Threat-Intelligence ein öffentlicher Exploit veröffentlicht. Der EPSS-Score – ein Maß für die Wahrscheinlichkeit einer Ausnutzung – liegt bei moderaten 0,68 %, aber die Kombination aus riesiger Verbreitung, fehlender Authentifizierung und verfügbarem Exploit macht das Risiko für ungepatchte Systeme sehr real. Hinzu kommt: Nur 26 % aller WordPress-Angriffe werden laut Patchstack von Standard-Netzwerk- und Serverschutz überhaupt geblockt.
Für deutsche Website-Betreiber ist CVE-2026-9282 nicht nur ein technisches, sondern auch ein datenschutzrechtliches Problem. Wer über die wp-config.php an die Datenbankzugangsdaten kommt, kann auf sämtliche gespeicherten personenbezogenen Daten zugreifen – Namen, E-Mail-Adressen, Bestell- und Kundendaten, Kommentare. Das kann eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO darstellen.
Meldepflicht nach Art. 33 DSGVO: Liegen Hinweise auf eine tatsächliche Ausnutzung vor und könnten personenbezogene Daten betroffen sein, müssen Sie den Vorfall innerhalb von 72 Stunden ab Kenntnis bei der zuständigen Datenschutzaufsichtsbehörde melden. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat klargestellt:
„Betroffene öffentliche Stellen und private Unternehmen, die Risiken für die bei ihnen gespeicherten personenbezogenen Daten nicht belastbar ausschließen können, müssen unverzüglich ihrer Meldepflicht nach Art. 33 DSGVO nachkommen." (BayLDA)
Wichtig: Die bloße Existenz der Schwachstelle ohne nachgewiesene Ausnutzung begründet noch keine Meldepflicht. Sobald Sie aber Angriffsspuren finden, beginnt die Frist zu laufen. SecurityToday weist darauf hin, dass genau diese Frist zur Falle wird:
„Die 72-Stunden-Meldepflicht bei Datenpannen wird dabei zum häufigsten Auslöser – weil viele KMUs nicht wissen, dass die Frist mit Bekanntwerden des Vorfalls beginnt, nicht mit der internen Eskalation." (SecurityToday, 2026)
Bei hohem Risiko für Betroffene sind diese zusätzlich nach Art. 34 DSGVO zu informieren. Und: Das Betreiben einer Website mit bekannter, ungepatchter kritischer Lücke kann als Verstoß gegen die Pflicht zu angemessenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) gewertet werden. Bußgelder können hier bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen. Der Trend 2026 geht dabei laut SecurityToday deutlich weg von den großen Tech-Konzernen hin zum Mittelstand.
CVE-2026-9282 ist eine hochgradige, aus der Ferne und ohne Anmeldung ausnutzbare Schwachstelle in einem der verbreitetsten WordPress-Plugins. Wer wp-config.php auslesen kann, kann im Zweifel die gesamte Website und alle darin gespeicherten Kundendaten übernehmen. Ein öffentlicher Exploit ist bereits im Umlauf, ein Patch aber ebenso verfügbar.
Die Handlungsanweisung ist damit denkbar einfach: Prüfen Sie Ihre Plugin-Version. Aktualisieren Sie auf 2.10.0 oder neuer – am besten sofort auf die aktuelle 2.10.2. Ist ein Update kurzfristig nicht möglich, schalten Sie den manuellen Minify-Modus ab. Und behalten Sie Ihre Serverprotokolle im Blick, denn im Ernstfall entscheidet die 72-Stunden-Frist der DSGVO über mehr als nur die Website-Sicherheit. Wer jetzt handelt, ist in wenigen Minuten auf der sicheren Seite.