🔴 CVE-2026-16618: Critical Schwachstelle

„`html

Zusammenfassung

Die WordPress-Erweiterung „Improve SEO“ in der Version 2.0.11 und darunter enthält eine kritische Sicherheitslücke (CVE-2026-16618) mit einem CVSS-Score von 9.8. Die Schwachstelle ermöglicht unauthentifizierten Angreifern das Hochladen und die Ausführung beliebiger PHP-Dateien auf dem betroffenen System, was zu vollständiger Remote Code Execution (RCE) führt.

Betroffene Systeme

Betroffen sind WordPress-Installationen mit dem Plugin „Improve SEO“ in den Versionen bis einschließlich 2.0.11. Die Schwachstelle kann unabhängig vom Betriebssystem ausgenutzt werden, da die Anfälligkeit im Plugin-Code selbst liegt. Besonders kritisch sind öffentlich erreichbare WordPress-Instanzen ohne zusätzliche Sicherheitsmaßnahmen.

Technische Details

Das Plugin validiert hochgeladene Dateien unzureichend. Es überprüft zwar den MIME-Type des Dateiinhalts, schreibt die Datei jedoch mit der vom Angreifer bereitgestellten Dateiendung in ein öffentlich zugängliches Verzeichnis. Dies erlaubt es einem Angreifer, eine Datei mit PHP-Endung hochzuladen, indem er diese als legitime Datei (z.B. Bild) tarnt. Nach dem Upload kann die PHP-Datei direkt über den Webserver aufgerufen und ausgeführt werden, was dem Angreifer Zugriff mit den Berechtigungen des Web-Servers gewährt.

Empfohlene Massnahmen

• Sofort Update durchführen: Plugin-Update auf Version 2.0.12 oder höher installieren, sobald verfügbar
• Interim-Maßnahmen: Plugin deaktivieren und deinstallieren, bis ein Patch verfügbar ist
• Log-Analyse: Webserver- und WordPress-Logs auf verdächtige Datei-Uploads prüfen
• Datei-Integrität: Upload-Verzeichnis auf unautorisierte PHP-Dateien untersuchen
• Web Application Firewall: WAF-Regeln implementieren, um verdächtige Upload-Anfragen zu blockieren

Bewertung

Mit einem CVSS-Score von 9.8 handelt es sich um eine kritische Sicherheitslücke mit hoher Priorität. Die Kombination aus fehlender Authentifizierung und direkter RCE-Möglichkeit stellt ein extremes Risiko dar. Ein Patch steht derzeit nicht zur Verfügung, weshalb Deinstallation des Plugins die sofortige Kontrollmaßnahme sein sollte.

„`