🔴 CVE-2026-66613: Critical Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-66613 betrifft das WordPress-Plugin JetEngine in Versionen bis 3.8.14. Die Schwachstelle ermöglicht unauthentifizierte Remote Code Execution (RCE) mit einem CVSS-Wert von 9.8 (Critical). Angreifer können ohne Authentifizierung beliebigen PHP-Code auf betroffenen Systemen ausführen und diese vollständig kompromittieren.

Betroffene Systeme

Die Anfälligkeit betrifft folgende Komponenten:

• JetEngine Plugin für WordPress in Versionen ≤ 3.8.14
• Alle WordPress-Installationen mit installiertem JetEngine-Plugin
• Hosting-Umgebungen ohne Sicherheits-Patches

Aktuell ist kein offizieller Patch verfügbar. Die Entwickler wurden über die Schwachstelle benachrichtigt.

Technische Details

Die Lücke ermöglicht unauthentifizierte Angreifer, über einen nicht verifizierten API-Endpoint Requests zu senden. Der Angriffsvektor erfolgt über das Netzwerk ohne vorherige Authentifizierung. Die Exploitation ermöglicht die Ausführung beliebiger PHP-Befehle mit den Rechten des Webservers, was zur vollständigen Systemkompromittierung führt.

Der fehlende Patch bei kritischen Schwachstellen stellt ein erhebliches Risiko dar und erfordert sofortige Mitigierungsmassnahmen.

Empfohlene Massnahmen

• JetEngine-Plugin sofort deaktivieren und entfernen
• Vollständiger Security-Audit der betroffenen WordPress-Installation
• Überprüfung der Server-Logs auf verdächtige Aktivitäten
• Alle Systemzugriffe und Datenbanken auf Manipulationen prüfen
• Alternative Plugins evaluieren oder manuell implementierte Funktionalität nutzen
• Web Application Firewall (WAF) konfigurieren
• Regelmässige Sicherheits-Updates durchführen

Bewertung

CVSS v3.1: 9.8 (Critical)

Die kritische Einstufung ist gerechtfertigt aufgrund des unauthentizierten Zugriffs, der Netzwerk-basierenden Ausnutzbarkeit und der Möglichkeit vollständiger Systemkompromittierung. Die fehlende Patch-Verfügbarkeit verschärft die Bedrohungslage erheblich.

„`