Elementor Pro & rtMedia: mehrere kritische Sicherheitslücken (CVE-2026-32475, CVE-2026-66592)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Update 20.08.2026: Zusätzlich wurde CVE-2026-66592 (CVSS 9.3) bekannt, eine unauthentifizierte SQL Injection im WordPress-Plugin rtMedia for WordPress, BuddyPress and bbPress bis einschließlich Version 4.7.11. Details siehe unten.
Für das WordPress-Plugin Elementor Pro wurde am 19. August 2026 die Schwachstelle CVE-2026-32475 veröffentlicht. Sie betrifft Elementor Pro bis einschließlich Version 4.2.1. Patchstack beschreibt einen unauthentifizierten Datei-Upload im Forms-Modul, über den eine PHP-Datei abgelegt und Code ausgeführt werden kann. Entdeckt wurde die Schwachstelle von Tin Pham (alias TF1T) im Rahmen des Patchstack-Bug-Bounty-Programms.
Der gemeldete CVSS-Wert beträgt 9.0. Inhaltlich handelt es sich um einen unkontrollierten Upload von Dateien mit gefährlichem Typ, also um die Schwachstellenklasse CWE-434. Die Zeitleiste im Advisory nennt den 16. Juli 2026 als Meldedatum; die korrigierte Version erschien gut einen Monat später.
Wie der Datei-Upload umgangen wird (CVE-2026-32475)
Nach Angaben von Patchstack liegt der Fehler in der Verarbeitung von Datei-Uploads im Forms-Modul. Die Prüfung der Dateiendung und das Verschieben der hochgeladenen Datei erfolgen in getrennten Verarbeitungsschritten.
Ein Angreifer kann zwei Datei-Parts für dasselbe Formularfeld übermitteln. Leere Dateieinträge werden in den beiden Verarbeitungsschritten unterschiedlich behandelt. Dadurch kann die vorgesehene Blockliste für Dateiendungen umgangen werden. Eine PHP-Datei kann anschließend in ein öffentliches Verzeichnis geschrieben werden.
Patchstack nennt als Zielverzeichnis wp-content/uploads/elementor/forms/. Der Dateiname wird dort von der PHP-Funktion uniqid() erzeugt und besteht aus 13 Hex-Zeichen: acht kodieren die Unix-Sekunde des Uploads, fünf die Mikrosekunden. Patchstack dokumentiert diese Struktur, weil ein Angreifer die abgelegte Datei anschließend gezielt aufrufen muss, um den enthaltenen Code auszuführen.
Für die Ausnutzung ist keine Anmeldung erforderlich, sofern auf der betroffenen WordPress-Seite mindestens ein öffentlich zugängliches Elementor-Formular mit aktiviertem Datei-Upload-Feld vorhanden ist — laut Patchstack eine häufige Konfiguration, etwa bei Bewerbungsformularen oder Support-Formularen. Die Schwachstelle kann dadurch zu Code-Ausführung auf einem betroffenen System führen.
Unauthentifizierte SQL Injection in rtMedia (CVE-2026-66592)
CVE-2026-66592 betrifft das WordPress-Plugin rtMedia for WordPress, BuddyPress and bbPress bis einschließlich Version 4.7.11. Die Schwachstelle ermöglicht einem nicht angemeldeten Angreifer, SQL-Befehle in die Datenbank einzuschleusen. Der CVSS-Wert beträgt 9.3 (kritisch). Der Angriffsvektor ist netzwerkbasiert, erfordert keine Authentifizierung und keine Nutzerinteraktion.
Laut Patchstack-Datenbank kann die Schwachstelle zur Offenlegung vertraulicher Daten aus der WordPress-Datenbank führen und unter bestimmten Umständen die Verfügbarkeit der Anwendung beeinträchtigen. Die korrigierte Version 4.7.12 wurde am 20. August 2026 veröffentlicht.
Operative Relevanz: Warum diese Lücken priorisiert werden sollten
Die Voraussetzungen für einen Angriff sind bei beiden Schwachstellen niedrig. Es braucht keine Zugangsdaten, keine Vorbedingung auf Nutzerseite und keine Interaktion eines Mitarbeitenden. Bei CVE-2026-32475 genügt eine veröffentlichte Seite mit einem Elementor-Formular, das ein Upload-Feld enthält. Bei CVE-2026-66592 ist lediglich eine Installation des rtMedia-Plugins erforderlich. Genau diese Konstellationen lassen sich von außen automatisiert über viele Domains hinweg erkennen. Patchstack hat die Umgehungsmechanismen am 19. bzw. 20. August öffentlich im Detail beschrieben; das Zeitfenster zwischen Patch und breitem Scannen ist bei solchen Lücken erfahrungsgemäß kurz.
Hinzu kommt, wo Elementor Pro und rtMedia typischerweise im Einsatz sind: auf Unternehmenswebsites, Kampagnen-Landingpages, Karriereseiten, Community-Plattformen und Produktmikrosites. Diese Auftritte entstehen häufig in Marketingprojekten oder bei externen Dienstleistern und laufen unter eigenen Domains oder Subdomains, ohne im zentralen IT-Inventar geführt zu werden. Für die Sicherheitsorganisation heißt das: Die betroffene Software steht möglicherweise auf Systemen, die in der Patch-Planung gar nicht vorkommen, und die Zuständigkeit dafür ist im Zweifel nicht sofort geklärt.
Ein Bewerbungs- oder Support-Formular mit Upload-Feld ist dabei kein Randfall, sondern auf genau diesen Seiten der Regelfall. Gelingt der Upload bei CVE-2026-32475, führt der Angreifer Code im Kontext des Webservers aus. Bei CVE-2026-66592 kann ein Angreifer direkt auf die Datenbank zugreifen. Ab diesem Punkt geht es nicht mehr um eine Website, sondern um einen Zugang zum darunterliegenden System und zu den dort verarbeiteten Daten.
Betroffene Installationen aktualisieren
Elementor Pro 4.2.2 behebt CVE-2026-32475. rtMedia 4.7.12 behebt CVE-2026-66592. Organisationen sollten bekannte Installationen auf die korrigierten Versionen oder höher aktualisieren.
Nach dem Update sollten WordPress-Seiten auf nicht autorisierte Datei-Uploads in Elementor-Formularen geprüft werden. Relevant sind insbesondere Dateien in den Formular-Upload-Bereichen, deren Herkunft oder Zweck nicht nachvollziehbar ist. Bei rtMedia-Installationen sollten Datenbank-Logs auf ungewöhnliche Abfragen geprüft werden, die auf eine erfolgreiche SQL Injection hindeuten könnten.
Darüber hinaus sind folgende Maßnahmen empfehlenswert:
strengere Validierung von Datei-Uploads,
Monitoring von Upload-Vorgängen,
Prüfung von Elementor-Formularen auf nicht autorisierte Uploads,
Überwachung von Datenbank-Zugriffen auf Anomalien.
Meldepflichten, falls ein Angriff erfolgreich war
Für Betreiber von WordPress-Angeboten mit EU-Personenbezug gilt: Gelingt ein Angriff und werden dabei personenbezogene Daten kompromittiert, besteht gemäß Art. 33 DSGVO eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden. Organisationen in Deutschland und Österreich, die unter NIS-2 bzw. das österreichische NISG fallen, sollten zudem prüfen, ob der Vorfall ihre Meldepflichten nach dem jeweiligen nationalen Umsetzungsrecht auslöst. Das BSI empfiehlt grundsätzlich, öffentlich erreichbare Webanwendungen zeitnah auf verfügbare Sicherheitsupdates zu prüfen.
CVE-2026-32475 und CVE-2026-66592 betreffen Webanwendungen, die unter eigenen Domains und Subdomains betrieben werden. Die erste Frage bei solchen Meldungen lautet deshalb nicht, ob die Version gepatcht ist, sondern wo die Software überhaupt läuft.
Genau dort setzt External Attack Surface Management an. LocateRisk erfasst kontinuierlich, welche Systeme und Webanwendungen unter den eigenen Domains öffentlich erreichbar sind und welche Software sich von außen erkennen lässt. Damit werden auch Webauftritte sichtbar, die außerhalb zentral gepflegter Inventare betrieben werden, und die Zuordnung zu den verantwortlichen Teams wird zur Frage von Minuten statt von Tagen. Wie eine solche Bestandsaufnahme methodisch abläuft, beschreibt unser Überblick zum Attack Surface Assessment.
Die technische Sichtbarkeit ersetzt weder das Update auf Elementor Pro 4.2.2 bzw. rtMedia 4.7.12 noch die Prüfung der Uploads und Datenbank-Logs. Sie beantwortet die vorgelagerte Frage: Welche Systeme gehören überhaupt in die Patch-Liste, und wer muss dafür tätig werden.
Bin ich betroffen?
Betroffen sind Elementor Pro bis 4.2.1 und rtMedia bis 4.7.11; behoben wurden die Schwachstellen in 4.2.2 bzw. 4.7.12. Wer wissen will, ob Elementor Pro oder rtMedia in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar sind, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit den Hersteller-Advisories.
CVE-2026-32475 ist eine kritische Schwachstelle im WordPress-Plugin Elementor Pro, die es einem nicht angemeldeten Angreifer erlaubt, eine PHP-Datei über das Forms-Modul in ein öffentlich erreichbares Verzeichnis hochzuladen und dort Code auszuführen. Der CVSS-Wert beträgt 9.0.
CVE-2026-66592 ist eine kritische SQL-Injection-Schwachstelle im WordPress-Plugin rtMedia for WordPress, BuddyPress and bbPress. Sie ermöglicht einem nicht angemeldeten Angreifer, SQL-Befehle in die Datenbank einzuschleusen und vertrauliche Daten offenzulegen. Der CVSS-Wert beträgt 9.3.
Betroffen sind alle Versionen von Elementor Pro bis einschließlich 4.2.1 und rtMedia bis einschließlich 4.7.11. Version 4.2.2 von Elementor Pro (veröffentlicht am 19. August 2026) behebt CVE-2026-32475. Version 4.7.12 von rtMedia (veröffentlicht am 20. August 2026) behebt CVE-2026-66592. Betroffene Installationen sollten umgehend auf diese Versionen oder höher aktualisiert werden.
Laut Patchstack muss auf der betroffenen WordPress-Seite mindestens ein öffentlich zugängliches Elementor-Formular mit aktiviertem Datei-Upload-Feld vorhanden sein. Eine Anmeldung ist für die Ausnutzung nicht erforderlich.
Das Advisory von Patchstack nennt ausschließlich Elementor Pro und bezieht die Versionsangaben auf dieses Plugin. Das betroffene Datei-Upload-Feld im Forms-Modul gehört zum Funktionsumfang der kostenpflichtigen Version. Maßgeblich für die eigene Bewertung ist die in der jeweiligen Installation eingesetzte Elementor-Pro-Version.
Stand: 20.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français