Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.CVE-2026-61992 betrifft das WordPress-Plugin GEO my WP bis einschließlich Version 4.5.5.3. Patchstack bewertet die Schwachstelle mit einem CVSS-Score von 9.8. Eine fehlerbereinigte Version 4.5.5.5 wurde veröffentlicht.
Sind meine Systeme betroffen? Jetzt prüfen →
Auf einen Blick:
| Produkt / Komponente | Betroffene Versionen | Gepatcht in |
|---|---|---|
| GEO my WP | <= 4.5.5.3 | 4.5.5.5 |
Die Schwachstelle betrifft die Verarbeitung von Formular-Einstellungen über Import- und Exportfunktionen. Nach Angaben von Patchstack können dabei nicht vertrauenswürdige Daten deserialisiert werden. Der Fehler ist als CWE-502 klassifiziert.
Für den dokumentierten Angriffsweg ist keine Anmeldung erforderlich. Dadurch können PHP-Objekte über deserialisierte Daten instanziiert werden. Patchstack ordnet CVE-2026-61992 mit einem CVSS-Score von 9.8 ein.
Das Plugin wird über das WordPress.org Plugin Repository bereitgestellt. Organisationen sollten daher auch Plugin-Bestände in WordPress-Anwendungen in ihre Schwachstellenbewertung einbeziehen.
Der Hersteller veröffentlichte GEO my WP 4.5.5.5 Mitte Oktober 2026. Die CVE-Dokumentation wurde Ende Oktober 2026 veröffentlicht. Betroffen sind laut Patchstack Versionen bis einschließlich 4.5.5.3.
Für die Bearbeitung sind insbesondere WordPress-Installationen relevant, auf denen GEO my WP eingesetzt wird und die über das Internet erreichbar sind. Da der beschriebene Angriffsweg keine Anmeldung voraussetzt, sollten diese Systeme bei der Aktualisierung priorisiert werden.
Empfohlene Schritte:
Die Schwachstelle wurde von Ayukiab, koordiniert über Patchstack, gemeldet.
Organisationen in Deutschland und Österreich, die WordPress-Instanzen mit personenbezogenen Daten betreiben, sollten im Falle einer erfolgreichen Ausnutzung die 72-Stunden-Meldepflicht nach Art. 33 DSGVO gegenüber der zuständigen Datenschutzbehörde prüfen. Für NIS-2-pflichtige Einrichtungen in Deutschland und Österreich — etwa aus den Sektoren Digitale Infrastruktur oder Verwaltung — gilt zusätzlich die Pflicht zur Meldung erheblicher Sicherheitsvorfälle an die jeweilige nationale Behörde. Schweizer Organisationen unterliegen dem revidierten Informationssicherheitsgesetz (ISG) mit Meldepflicht ans Bundesamt für Cybersicherheit (BACS).
GEO my WP kann als Komponente einer Webanwendung unter einer Kunden-Domain eingesetzt werden. Technische Merkmale von WordPress-Plugins können über das Internet erkennbar sein, etwa über Plugin-Pfade oder Versionsangaben in Antworten.
LocateRisk kann extern erreichbare Kunden-Assets sowie eingesetzte Software sichtbar machen und betroffene GEO-my-WP-Installationen bei eigenen Assets oder überwachten Dritten identifizieren und priorisieren. Die Plattform bestimmt dabei nicht zwingend die konkret verwundbare Version. Für die Bewertung von CVE-2026-61992 bleibt deshalb die Prüfung des tatsächlich eingesetzten Softwarestands erforderlich.
Für überwachte Dritte ergänzt Vendor Risk Management die Zuordnung von Webanwendungen und technologischen Abhängigkeiten. Dies unterstützt die dokumentierte Bewertung von Zuständigkeiten bei betroffenen extern betriebenen Anwendungen.
Betroffen ist GEO my WP in den oben genannten Versionen; behoben wurde die Schwachstelle in 4.5.5.5. Wer wissen will, ob GEO my WP in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
CVE-2026-61992 bezeichnet eine Schwachstelle vom Typ PHP Object Injection im WordPress-Plugin GEO my WP. Sie basiert auf der unsicheren Deserialisierung von Daten (CWE-502) im Rahmen der Import- und Exportfunktion für Formular-Einstellungen und wird mit einem CVSS-Score von 9.8 bewertet.
Laut Patchstack sind Versionen bis einschließlich 4.5.5.3 betroffen. Die fehlerbereinigte Version 4.5.5.5 wurde Mitte Oktober 2026 vom Hersteller veröffentlicht.
Betroffene Installationen sollten so schnell wie möglich auf GEO my WP 4.5.5.5 oder höher aktualisiert werden. Da der Angriffsweg keine Anmeldung voraussetzt, sind über das Internet erreichbare WordPress-Instanzen mit dem Plugin besonders dringend zu aktualisieren.
Stand: 29.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Deutsch 
English 
Français