sofort handelnWordPressCVE-2026-114432
Contact Form 7: Kritisches Update wegen unsicherem Datei-Upload (CVE-2026-114432)
kritisch
- Gemeldet8. November 2026
- Unser Artikel9. November 2026
- Korrektur 6.2.4verfügbar
- Ihre Websitejetzt prüfen
Das Wichtigste in Kürze
- Eine unsichere Datei-Upload-Lücke (CVE-2026-114432) ermöglicht Angreifern das Hochladen beliebiger Dateien auf Ihre WordPress-Seite.
- Betroffen sind alle Contact Form 7-Installationen mit Version 6.2 bis 6.2.3.
- Aktualisieren Sie sofort auf Version 6.2.4, um die Gefahr zu beseitigen.
- Software
- Contact Form 7
- Betroffen
- 6.2 bis vor 6.2.4
- Behoben in
- 6.2.4
- Schweregrad
- kritisch (CVSS 9,8)
- Aktiv ausgenutzt
- nicht bekannt
- Kennung
- CVE-2026-114432
Unsere Einschätzung sofort handeln
Wir schätzen das Risiko für typische Unternehmens-Websites als hoch ein, weil die Lücke ohne Authentifizierung aus dem Internet ausgenutzt werden kann und Contact Form 7 weit verbreitet ist. Da ein Fix bereits in Version 6.2.4 bereitsteht, lässt sich das Problem schnell beheben.
Was die Schwachstelle in Contact Form 7 ermöglicht
Die Meldung CVE-2026-114432 beschreibt einen unsicheren Datei-Upload (CWE-434). Das bedeutet, dass ein Angreifer aus der Ferne beliebige Dateien auf den Server Ihrer WordPress-Installation hochladen kann, ohne vorher eingeloggt zu sein. Solche hochgeladenen Dateien können später dazu genutzt werden, Schadcode auszuführen, Administrator-Rechte zu erlangen oder die komplette Website zu übernehmen. Da die Lücke netzwerkseitig (Remote) ausnutzbar ist, benötigt ein Angreifer keinerlei Vorbedingungen, um den Angriff zu starten.
Wer von der Lücke betroffen ist
Betroffen sind alle Websites, die das WordPress-Plugin Contact Form 7 in einer Version ab 6.2 bis vor 6.2.4 einsetzen. Das schließt sowohl kleine Unternehmensseiten als auch größere Onlineshops ein, solange das Plugin aktiv ist. Die betroffenen Versionen umfassen alle Releases zwischen 6.2.0 und 6.2.3 x. Die korrigierte Version ist 6.2.4, die am 8. November 2026 veröffentlicht wurde. Betreiber, die das Plugin nicht mehr nutzen, sind nicht betroffen.
Wie Sie die Gefahr jetzt beseitigen
1. Version prüfen – Im WordPress-Dashboard unter „Plugins“ das Plugin Contact Form 7 öffnen und die dort angezeigte Versionsnummer mit den Angaben „ab 6.2 bis vor 6.2.4“ vergleichen. 2. Backup erstellen – Vor jeder Änderung ein vollständiges Backup von Dateien und Datenbank anlegen, um im Notfall zurückrollen zu können. 3. Update durchführen – Das Plugin auf Version 6.2.4 aktualisieren, entweder über den integrierten WordPress-Updater oder durch manuellen Upload der neuen ZIP-Datei von wordpress.org. 4. Funktionstest – Nach dem Update alle Formulare testen, um sicherzustellen, dass sie korrekt arbeiten und keine Fehlermeldungen anzeigen. 5. Hosting-Provider informieren – Dem Hoster mitteilen, dass das Sicherheitsupdate durchgeführt wurde, damit er ggf. weitere Schutzmaßnahmen prüfen kann. Durch diese Schritte schließen Sie die Lücke und reduzieren das Risiko eines Datei-Upload-Angriffs erheblich.
Häufige Fragen
Wie erkenne ich, welche Version von Contact Form 7 ich verwende?
Im WordPress-Dashboard unter „Plugins“ finden Sie das Plugin Contact Form 7; die dort angezeigte Versionsnummer lässt sich mit den Angaben aus der Sicherheitsmeldung abgleichen.
Muss ich für das Update Administratorrechte besitzen?
Ja, das Update des Plugins erfordert Administrator-Zugriff auf Ihre WordPress-Installation; jedoch ist für die Ausnutzung der Lücke keine vorherige Anmeldung nötig.
Was passiert, wenn ich das Update nicht sofort installiere?
Die Lücke bleibt aus der Ferne ausnutzbar, sodass ein Angreifer schädliche Dateien hochladen und damit die komplette Website kompromittieren könnte.