🔴 CVE-2026-32566: Critical Schwachstelle

„`html

Zusammenfassung

Das WordPress-Plugin ACPT (Advanced Custom Post Types) Pro in den Versionen bis 2.0.63 weist eine kritische Sicherheitslücke auf, die eine unauthentifizierte Privilege Escalation ermöglicht. Mit einem CVSS-Score von 9.8 stellt diese Vulnerabilität eine unmittelbare Bedrohung dar. Unbefugte Angreifer können ohne gültige Authentifizierung administrative Rechte erlangen und vollständige Kontrolle über betroffene WordPress-Installationen übernehmen.

Betroffene Systeme

Betroffen sind WordPress-Installationen mit dem ACPT Plugin in den Versionen 2.0.63 und älter. Die Schwachstelle wird über das Netzwerk ausgenutzt und erfordert keine lokalen Systemzugriffe. Systeme mit aktiviertem Plugin sind unmittelbar gefährdet, unabhängig von ihrer Konfiguration oder zusätzlichen Sicherheitsmaßnahmen.

Technische Details

Die Sicherheitslücke basiert auf mangelhaften Authentifizierungsprüfungen innerhalb des Plugin-Codes. Angreifer können gezielt API-Endpoints oder Admin-Funktionen aufrufen, die durch unzureichende Berechtigungsprüfungen geschützt sind. Dies ermöglicht die direkte Eskalation zu administrativen Privilegien. Der Angriffsvektor erfordert lediglich Netzwerkzugriff auf die WordPress-Installation; lokale oder vorherige Authentifizierung ist nicht erforderlich.

Empfohlene Maßnahmen

• Sofort-Maßnahme: Plugin deaktivieren und löschen, bis ein Patch verfügbar ist
• Monitoring: Web Access Logs auf verdächtige ACPT-API-Requests prüfen
• Audit: Benutzerkonten und Berechtigungen überprüfen auf unauthorisierte Änderungen
• Firewall: WordPress-Admin-Bereich mit WAF-Regeln zusätzlich absichern
• Updates: Vendor-Webseite auf Sicherheits-Patches überwachen

Bewertung

Mit einem kritischen Schweregrad (CVSS 9.8) und fehlendem verfügbarem Patch stellt diese Sicherheitslücke eine Priority-One-Bedrohung dar. Organisationen sollten umgehend ihre WordPress-Installationen überprüfen und das Plugin entfernen. Solange kein Patch zur Verfügung steht, ist ein alternatives Plugin oder manuelle Funktionalität erforderlich.

„`