Elementor Pro & rtMedia: mehrere kritische Sicherheitslücken (CVE-2026-32475, CVE-2026-66592)
Ce texte a été généré par l'intelligence artificielle (IA).Update 20.08.2026: Zusätzlich wurde CVE-2026-66592 (CVSS 9.3) bekannt, eine unauthentifizierte SQL Injection im WordPress-Plugin rtMedia for WordPress, BuddyPress and bbPress bis einschließlich Version 4.7.11. Details siehe unten.
Für das WordPress-Plugin Elementor Pro wurde am 19. August 2026 die Schwachstelle CVE-2026-32475 veröffentlicht. Sie betrifft Elementor Pro bis einschließlich Version 4.2.1. Patchstack beschreibt einen unauthentifizierten Datei-Upload im Forms-Modul, über den eine PHP-Datei abgelegt und Code ausgeführt werden kann. Entdeckt wurde die Schwachstelle von Tin Pham (alias TF1T) im Rahmen des Patchstack-Bug-Bounty-Programms.
Der gemeldete CVSS-Wert beträgt 9.0. Inhaltlich handelt es sich um einen unkontrollierten Upload von Dateien mit gefährlichem Typ, also um die Schwachstellenklasse CWE-434. Die Zeitleiste im Advisory nennt den 16. Juli 2026 als Meldedatum; die korrigierte Version erschien gut einen Monat später.
Wie der Datei-Upload umgangen wird (CVE-2026-32475)
Nach Angaben von Patchstack liegt der Fehler in der Verarbeitung von Datei-Uploads im Forms-Modul. Die Prüfung der Dateiendung und das Verschieben der hochgeladenen Datei erfolgen in getrennten Verarbeitungsschritten.
Ein Angreifer kann zwei Datei-Parts für dasselbe Formularfeld übermitteln. Leere Dateieinträge werden in den beiden Verarbeitungsschritten unterschiedlich behandelt. Dadurch kann die vorgesehene Blockliste für Dateiendungen umgangen werden. Eine PHP-Datei kann anschließend in ein öffentliches Verzeichnis geschrieben werden.
Patchstack nennt als Zielverzeichnis wp-content/uploads/elementor/forms/. Der Dateiname wird dort von der PHP-Funktion uniqid() erzeugt und besteht aus 13 Hex-Zeichen: acht kodieren die Unix-Sekunde des Uploads, fünf die Mikrosekunden. Patchstack dokumentiert diese Struktur, weil ein Angreifer die abgelegte Datei anschließend gezielt aufrufen muss, um den enthaltenen Code auszuführen.
Für die Ausnutzung ist keine Anmeldung erforderlich, sofern auf der betroffenen WordPress-Seite mindestens ein öffentlich zugängliches Elementor-Formular mit aktiviertem Datei-Upload-Feld vorhanden ist — laut Patchstack eine häufige Konfiguration, etwa bei Bewerbungsformularen oder Support-Formularen. Die Schwachstelle kann dadurch zu Code-Ausführung auf einem betroffenen System führen.
Unauthentifizierte SQL Injection in rtMedia (CVE-2026-66592)
CVE-2026-66592 betrifft das WordPress-Plugin rtMedia pour WordPress, BuddyPress et bbPress bis einschließlich Version 4.7.11. Die Schwachstelle ermöglicht einem nicht angemeldeten Angreifer, SQL-Befehle in die Datenbank einzuschleusen. Der CVSS-Wert beträgt 9.3 (kritisch). Der Angriffsvektor ist netzwerkbasiert, erfordert keine Authentifizierung und keine Nutzerinteraktion.
Laut Patchstack-Datenbank kann die Schwachstelle zur Offenlegung vertraulicher Daten aus der WordPress-Datenbank führen und unter bestimmten Umständen die Verfügbarkeit der Anwendung beeinträchtigen. Die korrigierte Version 4.7.12 wurde am 20. August 2026 veröffentlicht.
Operative Relevanz: Warum diese Lücken priorisiert werden sollten
Die Voraussetzungen für einen Angriff sind bei beiden Schwachstellen niedrig. Es braucht keine Zugangsdaten, keine Vorbedingung auf Nutzerseite und keine Interaktion eines Mitarbeitenden. Bei CVE-2026-32475 genügt eine veröffentlichte Seite mit einem Elementor-Formular, das ein Upload-Feld enthält. Bei CVE-2026-66592 ist lediglich eine Installation des rtMedia-Plugins erforderlich. Genau diese Konstellationen lassen sich von außen automatisiert über viele Domains hinweg erkennen. Patchstack hat die Umgehungsmechanismen am 19. bzw. 20. August öffentlich im Detail beschrieben; das Zeitfenster zwischen Patch und breitem Scannen ist bei solchen Lücken erfahrungsgemäß kurz.
Hinzu kommt, wo Elementor Pro und rtMedia typischerweise im Einsatz sind: auf Unternehmenswebsites, Kampagnen-Landingpages, Karriereseiten, Community-Plattformen und Produktmikrosites. Diese Auftritte entstehen häufig in Marketingprojekten oder bei externen Dienstleistern und laufen unter eigenen Domains oder Subdomains, ohne im zentralen IT-Inventar geführt zu werden. Für die Sicherheitsorganisation heißt das: Die betroffene Software steht möglicherweise auf Systemen, die in der Patch-Planung gar nicht vorkommen, und die Zuständigkeit dafür ist im Zweifel nicht sofort geklärt.
Ein Bewerbungs- oder Support-Formular mit Upload-Feld ist dabei kein Randfall, sondern auf genau diesen Seiten der Regelfall. Gelingt der Upload bei CVE-2026-32475, führt der Angreifer Code im Kontext des Webservers aus. Bei CVE-2026-66592 kann ein Angreifer direkt auf die Datenbank zugreifen. Ab diesem Punkt geht es nicht mehr um eine Website, sondern um einen Zugang zum darunterliegenden System und zu den dort verarbeiteten Daten.
Betroffene Installationen aktualisieren
Elementor Pro 4.2.2 behebt CVE-2026-32475. rtMedia 4.7.12 behebt CVE-2026-66592. Organisationen sollten bekannte Installationen auf die korrigierten Versionen oder höher aktualisieren.
Nach dem Update sollten WordPress-Seiten auf nicht autorisierte Datei-Uploads in Elementor-Formularen geprüft werden. Relevant sind insbesondere Dateien in den Formular-Upload-Bereichen, deren Herkunft oder Zweck nicht nachvollziehbar ist. Bei rtMedia-Installationen sollten Datenbank-Logs auf ungewöhnliche Abfragen geprüft werden, die auf eine erfolgreiche SQL Injection hindeuten könnten.
Darüber hinaus sind folgende Maßnahmen empfehlenswert:
strengere Validierung von Datei-Uploads,
Monitoring von Upload-Vorgängen,
Prüfung von Elementor-Formularen auf nicht autorisierte Uploads,
Überwachung von Datenbank-Zugriffen auf Anomalien.
Meldepflichten, falls ein Angriff erfolgreich war
Für Betreiber von WordPress-Angeboten mit EU-Personenbezug gilt: Gelingt ein Angriff und werden dabei personenbezogene Daten kompromittiert, besteht gemäß Art. 33 DSGVO eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden. Organisationen in Deutschland und Österreich, die unter NIS-2 bzw. das österreichische NISG fallen, sollten zudem prüfen, ob der Vorfall ihre Meldepflichten nach dem jeweiligen nationalen Umsetzungsrecht auslöst. Das BSI empfiehlt grundsätzlich, öffentlich erreichbare Webanwendungen zeitnah auf verfügbare Sicherheitsupdates zu prüfen.
CVE-2026-32475 und CVE-2026-66592 betreffen Webanwendungen, die unter eigenen Domains und Subdomains betrieben werden. Die erste Frage bei solchen Meldungen lautet deshalb nicht, ob die Version gepatcht ist, sondern wo die Software überhaupt läuft.
Genau dort setzt External Attack Surface Management an. LocateRisk erfasst kontinuierlich, welche Systeme und Webanwendungen unter den eigenen Domains öffentlich erreichbar sind und welche Software sich von außen erkennen lässt. Damit werden auch Webauftritte sichtbar, die außerhalb zentral gepflegter Inventare betrieben werden, und die Zuordnung zu den verantwortlichen Teams wird zur Frage von Minuten statt von Tagen. Wie eine solche Bestandsaufnahme methodisch abläuft, beschreibt unser Überblick zum Évaluation de la surface d'attaque.
Die technische Sichtbarkeit ersetzt weder das Update auf Elementor Pro 4.2.2 bzw. rtMedia 4.7.12 noch die Prüfung der Uploads und Datenbank-Logs. Sie beantwortet die vorgelagerte Frage: Welche Systeme gehören überhaupt in die Patch-Liste, und wer muss dafür tätig werden.
Suis-je concerné ?
Betroffen sind Elementor Pro bis 4.2.1 und rtMedia bis 4.7.11; behoben wurden die Schwachstellen in 4.2.2 bzw. 4.7.12. Wer wissen will, ob Elementor Pro oder rtMedia in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar sind, kann den Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit den Hersteller-Advisories.
CVE-2026-32475 ist eine kritische Schwachstelle im WordPress-Plugin Elementor Pro, die es einem nicht angemeldeten Angreifer erlaubt, eine PHP-Datei über das Forms-Modul in ein öffentlich erreichbares Verzeichnis hochzuladen und dort Code auszuführen. Der CVSS-Wert beträgt 9.0.
CVE-2026-66592 ist eine kritische SQL-Injection-Schwachstelle im WordPress-Plugin rtMedia for WordPress, BuddyPress and bbPress. Sie ermöglicht einem nicht angemeldeten Angreifer, SQL-Befehle in die Datenbank einzuschleusen und vertrauliche Daten offenzulegen. Der CVSS-Wert beträgt 9.3.
Betroffen sind alle Versionen von Elementor Pro bis einschließlich 4.2.1 und rtMedia bis einschließlich 4.7.11. Version 4.2.2 von Elementor Pro (veröffentlicht am 19. August 2026) behebt CVE-2026-32475. Version 4.7.12 von rtMedia (veröffentlicht am 20. August 2026) behebt CVE-2026-66592. Betroffene Installationen sollten umgehend auf diese Versionen oder höher aktualisiert werden.
Laut Patchstack muss auf der betroffenen WordPress-Seite mindestens ein öffentlich zugängliches Elementor-Formular mit aktiviertem Datei-Upload-Feld vorhanden sein. Eine Anmeldung ist für die Ausnutzung nicht erforderlich.
Das Advisory von Patchstack nennt ausschließlich Elementor Pro und bezieht die Versionsangaben auf dieses Plugin. Das betroffene Datei-Upload-Feld im Forms-Modul gehört zum Funktionsumfang der kostenpflichtigen Version. Maßgeblich für die eigene Bewertung ist die in der jeweiligen Installation eingesetzte Elementor-Pro-Version.
Stand: 20.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Une estimation approximative en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2024-3094
Évaluation passive
Remarques concernant le CVEIndications trouvées
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Toujours activé
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English