Sicherheitsmeldung: CSRF-Sicherheitslücke im Plugin „ WP Umbrella “, behoben in Version 2.27.0

10. August 2026

Wir entwickeln „ WP Umbrella “ öffentlich, und dazu gehören auch die Tage, an denen wir in den Nachrichten stehen. Heute geben wir eine Sicherheitslücke bekannt, die das WordPress-Plugin „ WP Umbrella “ in den Versionen 2.24.2 bis 2.26.2 betraf. Diese wurde in der heute veröffentlichten Version 2.27.0 behoben, und wir rollen das Update automatisch auf alle verbundenen Websites aus.

Hier erfahren Sie genau, was passiert ist, wie wir darauf reagiert haben und was wir festgestellt haben, als wir nach Anzeichen von Missbrauch gesucht haben.

TL;DR

Eine CSRF-Sicherheitslücke im Plugin „ WP Umbrella “ (Versionen 2.24.2 bis 2.26.2) könnte es ermöglichen, WordPress-REST-Aktionen ohne gültigen Sicherheits-Nonce auszuführen. Die Ausnutzung dieser Schwachstelle setzte bestimmte Voraussetzungen voraus: Ein Administrator, der bereits auf seiner WordPress-Seite angemeldet war, musste dazu verleitet werden, eine bösartige Seite aufzurufen. Es war kein Fernangriff ohne Interaktion möglich, und ein Fremder hatte keinen direkten Zugriff.
Wir haben 32,4 Millionen Ereignisse auf Anzeichen einer Ausnutzung überprüft. Jedes potenzielle Ereignis ließ sich auf legitime Aktivitäten zurückführen. Wir haben keinerlei Hinweise darauf gefunden, dass diese Sicherheitslücke jemals ausgenutzt wurde.
Die Version 2.27.0 mit dem Fehlerbehebungspatch wurde heute veröffentlicht, und im Rahmen einer automatischen Update-Kampagne wird sie auf alle verbundenen Websites übertragen.
Was nicht betroffen war: Es wurden keine Daten unter WP Umbrella gespeichert, keine Anmeldedaten, keine Backups. Die Sicherheitslücke lag auf der WordPress-Seite der Website, nicht in unserer Infrastruktur.
Die Sicherheitslücke wurde Patchstack am 4. August von einem externen Sicherheitsforscher gemeldet. Unabhängig davon wurde derselbe Fehler am 8. August im Rahmen unserer internen Sicherheitsüberprüfung entdeckt und noch am selben Tag behoben. Als die Meldung bei uns eintraf, war der Fix bereits geschrieben und getestet.
Was Sie tun müssen: Vergewissern Sie sich, dass auf Ihren Websites die Plugin-Version 2.27.0 oder höher installiert ist. Bei den meisten von Ihnen wurde dies bereits durch das automatische Update erledigt.

Worum es sich bei der Sicherheitslücke handelte

Das Plugin „ WP Umbrella “ registriert eigene Routen in der WordPress-REST-API. Damit unsere Plattform mit Ihrer Website kommunizieren kann, lockert das Plugin die Cookie-Nonce-Prüfung von WordPress – allerdings theoretisch nur für unsere eigenen Routen.

Der Fehler: Bei der Überprüfung, ob es sich um eine unserer Routen handelte, wurde nach der Zeichenfolge gesucht /wp-json/wp-umbrella/ an beliebiger Stelle in der Anfrage-URL, einschließlich des Abfrage-Strings, anstatt die Route zu überprüfen, die WordPress tatsächlich aufgelöst hatte. Das bedeutete, dass bei einer Anfrage an einen zentralen WordPress-Endpunkt (beispielsweise den Endpunkt, der Benutzer anlegt) unser Namespace in einen temporären Abfrageparameter eingeschleust werden und die Nonce-Prüfung umgangen werden konnte.

WordPress-Nonces dienen genau dazu, Cross-Site-Request-Forgery zu verhindern. Würde diese Überprüfung entfallen, könnte ein Angreifer einen bösartigen Link oder eine bösartige Seite erstellen, die – wenn sie von einem Administrator aufgerufen wird , der bei seiner WordPress-Seite angemeldet ist – unbemerkt REST-Aktionen in der Sitzung dieses Administrators ausführen würde. Die typische Nutzlast erstellt ein neues Administratorkonto.

Wichtiger Hinweis zum Anwendungsbereich:

Für den Angriff sind eine aktive, angemeldete Administratorsitzung sowie eine erfolgreiche CSRF-Köderattacke erforderlich. Er kann nicht aus der Ferne gegen eine inaktive Website ausgeführt werden.
Es waren keine API-Schlüssel, Tokens oder Plattform-Anmeldedaten von „ WP Umbrella “ beteiligt oder wurden offengelegt.
Patchstack stufte die Sicherheitslücke als „mittel“ ein (CVSS 5,4).

Zeitleiste

Datum	Was ist passiert?
21. Mai 2026	In der Plugin-Version 2.24.2 ist anfälliger Code enthalten
4. August 2026	Ein externer Forscher meldet die Sicherheitslücke an Patchstack
8. August 2026	Unser internes White-Box-Sicherheitsaudit deckt denselben Fehler eigenständig auf, reproduziert ihn im Labor von Anfang bis Ende und behebt ihn noch am selben Tag.
10. August 2026	Version 2.27.0 wurde mit der Fehlerbehebung veröffentlicht. Eine automatische Update-Kampagne wurde auf allen verbundenen Websites gestartet. Koordinierte Bekanntgabe in Zusammenarbeit mit Patchstack
10. August 2026	Audit zur flottenweiten Nutzung abgeschlossen

Zwei Dinge in dieser Zeitleiste sind für uns von Bedeutung.

Erstens hat der Forscher den Fehler vier Tage vor uns entdeckt, und ihm gebührt die volle Anerkennung für diese Entdeckung. Genau so sollte eine koordinierte Offenlegung funktionieren, und wir sind ihm und Patchstack sehr dankbar.

Zweitens haben wir diesen Fehler nicht behoben, weil uns jemand dazu gezwungen hat. Bei unserer eigenen proaktiven Überprüfung des Plugins ist der Fehler unabhängig davon zutage getreten, und der Fix wurde geschrieben, anhand eines funktionierenden Exploits im Labor getestet und für die Veröffentlichung vorgemerkt, noch bevor uns der externe Bericht überhaupt erreicht hatte. Als er uns dann erreichte, lautete unsere Antwort: „Bereits behoben, wird gerade veröffentlicht.“

Wurde es ausgenutzt?

Das war auch unsere erste Frage, und wir wollten sie nicht einfach mit einem Achselzucken abtun. Also haben wir uns auf die Suche gemacht.

Wir haben eine flottenweite Überprüfung unserer Daten durchgeführt: 32.473.743 Ereignisse an 5.581 Standorten im Zeitraum vom 21. Juni bis zum 10. August. Dabei haben wir nach dem spezifischen „Fingerabdruck“ gesucht, den dieser Angriff hinterlassen würde: kritische Konto- und Konfigurationsänderungen, die über den REST-Kanal eingingen, während legitime Administratoraktivitäten über wp-admin erfolgen.

Diese Suche ergab 35 potenzielle Vorfälle an 16 Standorten. Wir haben jeden einzelnen davon eingehend untersucht. Jeder einzelne ließ sich auf legitime Aktivitäten zurückführen: von den Website-Betreibern selbst initiierte Workflows zur Zugriffsgewährung, Herabstufungen von Benutzerrollen (das Gegenteil eines Angriffs), routinemäßige Nebeneffekte von Plugin-Updates sowie die Registrierung von Berechtigungen bei der Aktivierung von Plugins.

Aufgrund dieser Ergebnisse ist weder eine Rotation der Anmeldedaten noch eine Sperrung des Kontos erforderlich.

Was Sie tun sollten

Überprüfen Sie die Version Ihres Plugins. Jede Website sollte mit der Plugin-Version 2.27.0 oder höher von „ WP Umbrella “ ausgestattet sein. Wenn Ihre Websites mit der Plattform verbunden sind, übernimmt die automatische Update-Kampagne dies für Sie. Die meisten Websites sind bereits auf den neuesten Stand gebracht worden.

Das war’s. Keine Passwortzurücksetzungen, keine API-Schlüsselrotation, kein Support-Ticket erforderlich.

Quelle

Unser Dank gilt dem externen Forscher, der diese Sicherheitslücke über das Managed-Disclosure-Programm von Patchstack gemeldet hat, sowie Patchstack für die Koordination der Offenlegung. Unabhängige Forscher tragen dazu bei, das gesamte WordPress-Ökosystem sicherer zu machen – auch das unsere.

Wenn Sie Fragen zu dieser Datenschutzerklärung haben, schreiben Sie uns bitte an support@wp-umbrella.com. Ein Mitarbeiter wird Ihre Anfrage beantworten.