sofort handelnWooCommerceCVE-2026-93754
Unsicherer Datei-Upload in payever – WooCommerce Gateway bis Version 4.8.0
kritisch
- Gemeldet7. November 2026
- Unser Artikel7. November 2026
- Korrekturnoch nicht genannt
- Ihre Websitejetzt prüfen
Das Wichtigste in Kürze
- Eine Schwachstelle im payever-Gateway erlaubt das Hochladen beliebiger Dateien ohne Anmeldung.
- Alle WooCommerce-Shops mit payever-Gateway bis Version 4.8.0 sind betroffen.
- Version prüfen, bei Bedarf deaktivieren oder nach einem Update suchen und Backup erstellen.
- Software
- payever – WooCommerce Gateway
- Betroffen
- bis einschließlich 4.8.0
- Behoben in
- nicht angegeben
- Schweregrad
- kritisch (CVSS 9,8)
- Aktiv ausgenutzt
- nicht bekannt
- Kennung
- CVE-2026-93754
Unsere Einschätzung sofort handeln
Wir schätzen das Risiko für typische WooCommerce-Shops als hoch ein, weil die Schwachstelle ohne Authentifizierung aus dem Internet ausgenutzt werden kann und bereits einen CVSS-Score von 9.8 erreicht. Da bislang kein fixiertes Release vorliegt, sollten Betreiber sofort handeln, um eine mögliche Kompromittierung zu verhindern.
Was die Lücke im payever-Gateway ermöglicht
Am 7. November 2026 wurde eine Sicherheitslücke im WooCommerce-Plugin payever – WooCommerce Gateway veröffentlicht (CVE-2026-93754). Die Schwachstelle ist vom Typ „Unsicherer Datei-Upload“ (CWE-434) und erlaubt es einem Angreifer, über das Netzwerk ohne vorherige Authentifizierung beliebige Dateien auf den Server zu laden.
Durch das Hochladen von Skripten oder Web-Shells kann ein Angreifer die vollständige Kontrolle über die betroffene Website erlangen, Inhalte manipulieren oder weitere Schadsoftware installieren. Der CVSS-Score liegt bei 9.8, was die Gefahr als hoch einstuft.
Betroffene Systeme und Versionen
Die Lücke betrifft das WooCommerce-Plugin payever – WooCommerce Gateway in allen Versionen bis und einschließlich 4.8.0. Jeder Online-Shop, der WordPress + WooCommerce nutzt und dieses Zahlungs-Gateway installiert hat, ist potenziell gefährdet. Da keine Authentifizierung erforderlich ist, kann ein externer Angreifer von überall aus die Schwachstelle ausnutzen. Zum Zeitpunkt der Veröffentlichung ist noch keine korrigierte Version bestätigt, sodass Betreiber selbst prüfen müssen, welche Version sie einsetzen.
Sofortmaßnahmen für Ihren Shop
- Version prüfen – Melden Sie sich im WordPress-Backend an, öffnen Sie das Menü Plugins und suchen Sie nach „payever – WooCommerce Gateway“. Notieren Sie die angezeigte Versionsnummer.
- Bei betroffener Version sofort deaktivieren – Ist die Version 4.8.0 oder niedriger, klicken Sie auf Deaktivieren, um weitere Angriffe zu verhindern.
- Auf ein Update prüfen – Besuchen Sie die Plugin-Seite im WordPress-Repository oder die Hersteller-Website, um festzustellen, ob ein sicherer Patch veröffentlicht wurde.
- Update installieren oder Alternative wählen – Sobald ein Update verfügbar ist, installieren Sie es über Plugins → Installierte Plugins → Aktualisieren. Sollte kein Update erscheinen, ersetzen Sie das Plugin durch ein anderes, vertrauenswürdiges Zahlungsgateway.
- Backup und Monitoring – Erstellen Sie ein aktuelles Backup Ihrer Dateien und Datenbank und aktivieren Sie, falls möglich, eine Web-Application-Firewall, um zukünftige Datei-Upload-Versuche zu blockieren.
Häufige Fragen
Wie erkenne ich, ob das Plugin auf meiner Website installiert ist?
Melden Sie sich im WordPress-Backend an und öffnen Sie das Menü **Plugins**. Suchen Sie in der Liste nach „payever – WooCommerce Gateway“ – dort wird die installierte Version angezeigt.
Welche Gefahr besteht, wenn die Lücke ausgenutzt wird?
Ein Angreifer kann beliebige Dateien auf Ihren Server hochladen, zum Beispiel Schadcode oder Web-Shells, was zu einer vollständigen Übernahme Ihrer Website führen kann.
Gibt es bereits einen Patch für die Schwachstelle?
Zum Zeitpunkt der Meldung ist noch keine korrigierte Version bestätigt. Überprüfen Sie regelmäßig die Plugin-Seite des Herstellers auf ein mögliches Update.