Kritische Lücken in WordPress-Plugins (CVE-2026-28005, CVE-2026-6235)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Update 08.08.2026: Zusätzlich wurde CVE-2026-6235 (CVSS 9.8) im Plugin Sendmachine for WordPress bekannt. Die Schwachstelle ermöglicht ebenfalls eine unauthentifizierte Rechteausweitung. Details siehe unten.
Am 6. August 2026 meldete der Sicherheitsdienstleister Patchstack eine kritische Schwachstelle im WordPress-Plugin Kadence WooCommerce Email Designer. Die Lücke wird unter der Kennung CVE-2026-28005 geführt und erhielt laut Patchstack eine Bewertung von 9.8 (Kritisch) nach dem CVSS-Standard. Sie ermöglicht Angreifern eine Rechteausweitung ohne vorherige Authentifizierung (Unauthenticated Privilege Escalation), wodurch sie administrative Kontrolle über betroffene E-Commerce-Websites erlangen können.
Sicherheitsupdate: Für CVE-2026-28005 zum Zeitpunkt der Veröffentlichung nicht verfügbar; für CVE-2026-6235 Patch-Status unbekannt
Technische Analyse von CVE-2026-28005
Laut dem Advisory von Patchstack sind alle Versionen des Plugins bis einschließlich 1.5.19 betroffen. Die Schwachstelle erlaubt es einem nicht angemeldeten Angreifer, seine Berechtigungen auf die eines Administrators zu erhöhen. Ein solcher Angriff kann remote und ohne Interaktion des Website-Betreibers erfolgen.
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt das Risiko detailliert:
AV:N (Attack Vector: Network): Der Angriff kann über das Internet erfolgen.
AC:L (Attack Complexity: Low): Für die Ausnutzung sind keine komplexen Vorbereitungen notwendig.
PR:N (Privileges Required: None): Der Angreifer benötigt keinerlei Zugangsdaten oder bestehende Rechte.
Ein erfolgreicher Angriff hätte weitreichende Folgen für die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Systeme. Angreifer mit Administratorrechten könnten sensible Kundendaten abgreifen, Bestellprozesse manipulieren oder die Website als Ausgangspunkt für weitere Angriffe nutzen.
Technische Analyse von CVE-2026-6235
Laut dem Advisory von Wordfence betrifft CVE-2026-6235 das Plugin Sendmachine for WordPress in allen Versionen bis einschließlich 1.0.20. Die Schwachstelle liegt in der Funktion manage_admin_requests und ermöglicht eine Authorization Bypass-Attacke.
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ist identisch mit CVE-2026-28005 und beschreibt ein vergleichbares Risikoprofil:
AV:N (Attack Vector: Network): Angriff über das Internet möglich.
AC:L (Attack Complexity: Low): Keine komplexen Vorbereitungen erforderlich.
PR:N (Privileges Required: None): Keine Authentifizierung notwendig.
Die Schwachstelle erlaubt es einem nicht authentifizierten Angreifer, Autorisierungsprüfungen zu umgehen und administrative Funktionen auszuführen. Dies kann zur vollständigen Kompromittierung der betroffenen WordPress-Instanz führen, einschließlich der Möglichkeit, Inhalte zu manipulieren, Benutzerdaten abzugreifen oder Schadcode einzuschleusen.
Einordnung der Quellenlage und wiederkehrende Risiken
Zum Zeitpunkt der Veröffentlichung ist Patchstack die einzige öffentlich bekannte Quelle für CVE-2026-28005. Für CVE-2026-6235 liegt ein Advisory von Wordfence vor. Zum Redaktionsschluss waren beide CVEs noch nicht in der National Vulnerability Database (NVD) oder bei MITRE gelistet, was darauf hindeuten kann, dass die CVE-IDs neu reserviert wurden und der Veröffentlichungsprozess noch andauert. Für Sicherheitsteams bedeutet dies, dass Systeme, die ausschließlich auf kuratierte Feeds zugreifen, diese Bedrohungen möglicherweise noch nicht erkennen.
Die Situation verweist auf ein Muster: Im August 2025 wurde mit CVE-2025-54697 (CVSS 7.2, High) eine Vorgänger-Schwachstelle im Kadence-Plugin gepatcht (behoben in Version 1.5.17). Diese erforderte jedoch Shop-Manager-Authentifizierung — CVE-2026-28005 ist damit deutlich schwerwiegender, da sie ohne jede Authentifizierung ausgenutzt werden kann. Das wiederholte Auftreten kritischer Lücken in WordPress-Plugins unterstreicht die Notwendigkeit einer kontinuierlichen Überwachung von Drittanbieter-Software.
Handlungsempfehlungen für Betreiber
Da für CVE-2026-28005 noch kein Sicherheitspatch verfügbar ist und der Patch-Status für CVE-2026-6235 unbekannt ist, sind proaktive Schutzmaßnahmen erforderlich. Unternehmen, die eines der betroffenen Plugins einsetzen, sollten folgende Schritte prüfen:
Identifikation: Stellen Sie fest, auf welchen WordPress-Instanzen die Plugins Kadence WooCommerce Email Designer oder Sendmachine for WordPress installiert sind und prüfen Sie die eingesetzten Versionen.
Risikominimierung: Bei Einsatz einer verwundbaren Version (Kadence <= 1.5.19, Sendmachine <= 1.0.20) ist die sofortige Deaktivierung des jeweiligen Plugins die sicherste Maßnahme, bis ein Update vom Hersteller bereitgestellt wird.
Temporäre Maßnahmen: Sollte eine Deaktivierung betriebliche Prozesse kritisch stören, kann der Einsatz einer Web Application Firewall (WAF) mit spezifischen Regeln zur Blockierung verdächtiger Anfragen als Übergangslösung dienen. Dies ersetzt jedoch kein Update.
Betreiber von E-Commerce-Shops in der EU, die personenbezogene Kundendaten verarbeiten, sollten zudem prüfen, ob eine erfolgreiche Ausnutzung dieser Schwachstellen eine Meldepflicht nach DSGVO Art. 33 auslöst: Bei einem Datenschutzverstoß mit Risiko für betroffene Personen gilt eine 72-Stunden-Meldefrist gegenüber der zuständigen Datenschutzbehörde. Für Unternehmen, die unter die NIS-2-Richtlinie fallen — etwa E-Commerce-Betreiber, die als wesentliche oder wichtige Einrichtungen eingestuft sind — ergibt sich darüber hinaus die Pflicht, angemessene technische Maßnahmen zur Angriffsflächen-Reduktion nachzuweisen.
Angriffsflächenmanagement für Software von Drittanbietern
Die Schwachstellen CVE-2026-28005 und CVE-2026-6235 verdeutlichen eine zentrale Herausforderung der IT-Sicherheit: die mangelnde Transparenz über eingesetzte Softwarekomponenten von Drittanbietern. Jedes Plugin, jede Bibliothek und jeder externe Dienst erweitert die digitale Angriffsfläche eines Unternehmens — und bleibt dabei häufig im toten Winkel des internen Asset-Managements.
LocateRisk unterstützt Unternehmen dabei, diese Transparenz herzustellen. Im Rahmen des External Attack Surface Management (EASM) werden alle extern erreichbaren IT-Systeme — einschließlich Webanwendungen wie WordPress-Instanzen mit ihren installierten Plugins — kontinuierlich identifiziert und auf bekannte Schwachstellenmuster analysiert. Diese Inventarisierung ist die Grundlage, um bei neuen Schwachstellenmeldungen wie CVE-2026-28005 oder CVE-2026-6235 schnell die eigene Betroffenheit zu prüfen, ohne auf manuelle Bestandsaufnahmen angewiesen zu sein.
Dieser Ansatz ergänzt das Vendor Risk Management (VRM): Die technische Überprüfung eingesetzter Softwarekomponenten ermöglicht eine faktenbasierte Risikobewertung, die über reine Selbstauskünfte von Lieferanten hinausgeht. LocateRisk wird in deutschen Rechenzentren betrieben und unterstützt Unternehmen dabei, Anforderungen rund um Datenresidenz und den US CLOUD Act in ihrer Risikobetrachtung zu berücksichtigen.
CVE-2026-28005 ist eine kritische Sicherheitslücke (CVSS 9.8) im WordPress-Plugin Kadence WooCommerce Email Designer. CVE-2026-6235 ist eine ebenfalls kritische Schwachstelle (CVSS 9.8) im Plugin Sendmachine for WordPress. Beide ermöglichen es einem nicht authentifizierten Angreifer, seine Rechte auf Administratorebene zu erhöhen und damit vollständige Kontrolle über eine betroffene WordPress-Instanz zu erlangen.
Für Kadence WooCommerce Email Designer sind alle Versionen bis einschließlich 1.5.19 betroffen. Zum Zeitpunkt der Veröffentlichung dieses Artikels war kein Sicherheitspatch verfügbar. Für Sendmachine for WordPress sind alle Versionen bis einschließlich 1.0.20 betroffen; der Patch-Status ist unbekannt. Administratoren sollten die jeweiligen Plugins bis zur Bereitstellung von Updates deaktivieren und die Advisories auf Aktualisierungen überwachen.
Die sicherste Maßnahme ist die sofortige Deaktivierung der betroffenen Plugins auf allen WordPress-Instanzen. Als temporäre Übergangslösung kann eine Web Application Firewall (WAF) mit spezifischen Regeln zur Blockierung verdächtiger Anfragen eingesetzt werden. Sie ersetzt jedoch keinen Herstellerpatch und sollte nur als Überbrückung bis zu offiziellen Updates dienen.
Stand: 08.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français