🟠 CVE-2026-8293: High Schwachstelle

Zusammenfassung

Die Sicherheitslücke CVE-2026-8293 betrifft das WordPress-Plugin „Really Simple Security“ in Versionen vor 9.5.10.1. Die Schwachstelle ermöglicht es Angreifern, die Zwei-Faktor-Authentifizierung (2FA) zu umgehen und sich ohne Completion der E-Mail-OTP-Challenge zu authentifizieren. Das Vulnerability wird mit dem CVSS-Score 7.5 als „High“ eingestuft.

Betroffene Systeme

Alle WordPress-Installationen mit dem Really Simple Security Plugin in Versionen vor 9.5.10.1 sind vulnerabel. Die Schwachstelle betrifft alle Plattformen, auf denen das Plugin installiert ist, einschließlich gehosteter und selbst verwalteter WordPress-Instanzen.

Technische Details

Die Sicherheitslücke manifestiert sich in zwei REST-API-Endpoints, die für die Zwei-Faktor-Authentifizierung zuständig sind. Diese Endpoints validieren die zweite Authentifizierungsstufe nicht ordnungsgemäß. Ein Angreifer, der das Passwort eines Benutzers kennt oder kompromittiert hat, kann die E-Mail-OTP-Challenge bypassen und eine gültige WordPress-Session erhalten.

Die unzureichende Validierung in den REST-Endpoints ermöglicht direkte Authentifizierungsanfragen ohne Überprüfung des One-Time-Passwords. Dies negiert vollständig den Sicherheitsvorteil der Zwei-Faktor-Authentifizierung.

Empfohlene Massnahmen

• Sofortige Aktualisierung des Really Simple Security Plugins auf Version 9.5.10.1 oder höher durchführen
• Passwörter aller WordPress-Benutzer überprüfen und ggf. zurücksetzen
• Audit-Logs auf verdächtige Authentifizierungsvorgänge analysieren
• Zusätzliche Zugangsschutzmaßnahmen implementieren (Web Application Firewall)
• Regelmäßige Sicherheits-Updates für alle Plugins aktivieren

Bewertung

CVSS 7.5 (High) – Die Schwachstelle hat erhebliche Sicherheitsauswirkungen. Obwohl ein Passwort erforderlich ist, wird die primäre Sicherheitsmaßnahme der 2FA umgangen. Eine schnelle Patches wird dringend empfohlen.