Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.CVE-2026-32557 betrifft das WordPress-Plugin WooCommerce Appointments in Versionen bis einschließlich 5.3.2. Patchstack führt die Schwachstelle als SQL Injection nach CWE-89 mit einem CVSS-Wert von 9.3. Der Angriff ist über das Netzwerk möglich und erfordert keine Authentifizierung.
Sind meine Systeme betroffen? Jetzt prüfen →
Auf einen Blick:
| Produkt / Komponente | Betroffene Versionen |
|---|---|
| WooCommerce Appointments | <= 5.3.2 |
Patchstack dokumentiert CVE-2026-32557 für WooCommerce Appointments bis einschließlich Version 5.3.2. Der veröffentlichte CVSS-3.1-Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L.
Der Vektor beschreibt einen Angriff über das Netzwerk mit niedriger Angriffskomplexität. Weder Berechtigungen noch eine Interaktion durch Nutzende sind erforderlich. Für die Priorisierung ist damit besonders relevant, ob WooCommerce Appointments auf öffentlich erreichbaren WordPress-Installationen mit Buchungsfunktion eingesetzt wird.
Die Schwachstelle betrifft ein konkretes Plugin und eine klar abgegrenzte Versionsgruppe. Die Prüfung sollte deshalb drei Punkte verbinden: die eingesetzte Software, den Versionsstand und die externe Erreichbarkeit der zugehörigen Webanwendung oder Buchungsendpunkte.
Für Organisationen in Deutschland und Österreich, die unter NIS-2-Pflichten fallen und öffentlich erreichbare Buchungsportale betreiben, ist die Schwachstelle im Rahmen des Schwachstellenmanagements einzustufen. Erfolgt durch eine Ausnutzung ein unbefugter Zugriff auf personenbezogene Daten, greift die Meldepflicht nach Art. 33 DSGVO mit einer 72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde. Das BSI empfiehlt generell, WordPress-Plugins zeitnah zu aktualisieren und verwundbare Versionen bis zur Behebung zu isolieren oder abzuschalten. Für die Schweiz gilt das revidierte Informationssicherheitsgesetz (ISG); Meldepflichten für Cyberangriffe auf kritische Infrastrukturen richten sich an das BACS.
Organisationen sollten zunächst feststellen, auf welchen WordPress-Installationen WooCommerce Appointments eingesetzt wird. Da zum Stand 2026-10-06 kein offizieller Patch des Herstellers verfügbar ist, empfiehlt Patchstack seinen vPatch als temporäre Mitigationsmaßnahme — die Verfügbarkeit für CVE-2026-32557 ist direkt auf der Patchstack-Advisory-Seite zu prüfen. Diese Maßnahme ersetzt nicht die Aktualisierung des Plugins, sobald eine offizielle fehlerbereinigte Version erscheint.
Eine nachvollziehbare Bearbeitungsreihenfolge umfasst:
Buchungsfunktionen können auf Hauptdomains, regionalen Webauftritten oder weiteren WordPress-Installationen betrieben werden. Eine reine Plattforminventarisierung reicht daher nicht aus: Entscheidend ist, ob das konkrete Plugin eingesetzt wird, welche Version installiert ist und ob die Anwendung öffentlich erreichbar ist.
Kontinuierliches Schwachstellen- und Vendor-Risk-Monitoring unterstützt dabei, offene Patch-Aufgaben, Verantwortlichkeiten und dokumentierte Ausnahmen über den einzelnen Update-Vorgang hinaus nachzuverfolgen.
LocateRisk unterstützt External Attack Surface Management für öffentlich erreichbare Systeme und eingesetzte Software im externen Unternehmensbestand. Bei CVE-2026-32557 kann dies helfen, externe WordPress-Installationen und Buchungsendpunkte im eigenen Domainbestand zu erfassen und den zuständigen Teams zuzuordnen.
Die Sichtbarkeit eines extern erreichbaren Dienstes belegt nicht automatisch eine konkrete verwundbare Plugin-Version. Für die belastbare Bewertung bleibt daher die Prüfung des installierten Versionsstands erforderlich. In Umgebungen mit extern betriebenen Webanwendungen kann C-VRM technische Abhängigkeiten und Zuständigkeiten in die Risikobewertung einbeziehen.
LocateRisk ist Made in Germany, wird ausschließlich in deutschen Rechenzentren betrieben und verarbeitet keine Daten durch US-Anbieter.
Betroffen ist WooCommerce Appointments in den oben genannten Versionen. Wer wissen will, ob WooCommerce Appointments in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
CVE-2026-32557 ist eine kritische SQL-Injection-Schwachstelle (CWE-89) im WordPress-Plugin WooCommerce Appointments. Sie ermöglicht es Angreifenden ohne vorherige Authentifizierung, über das Netzwerk SQL-Befehle gegen die Datenbank der betroffenen WordPress-Installation auszuführen. Der CVSS-3.1-Score beträgt 9.3.
Betroffen sind alle Versionen des Plugins bis einschließlich 5.3.2. Ein offizieller Patch des Herstellers lag zum Stand 2026-10-06 noch nicht vor.
Betroffene Installationen sollten identifiziert und priorisiert werden. Als temporäre Mitigationsmaßnahme bietet Patchstack einen vPatch für hochriskante WordPress-Schwachstellen an — die Verfügbarkeit für CVE-2026-32557 ist direkt auf der Patchstack-Advisory-Seite zu prüfen. Öffentlich erreichbare Buchungsendpunkte sollten bis zur Behebung besonders überwacht oder, soweit möglich, vorübergehend deaktiviert werden.
Stand: 06.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Deutsch 
English 
Français