Kritische WP Maps Pro Lücke – WordPress-Seiten werden massenhaft übernommen
CVE-2026-8732: Angreifer übernehmen WordPress-Websites mit WP Maps Pro – ganz ohne Login. Automatisierte Scans laufen bereits weltweit.
CVE-2026-8732 in WP Maps Pro ≤ 6.1.0 (CVSS 9.8) erlaubt Angreifern, ohne Anmeldung Administrator-Konten anzulegen. Die Lücke wird laut Wordfence bereits aktiv ausgenutzt. Sofort auf 6.1.1 oder neuer updaten, Benutzerliste prüfen und nach unbekannten Admins suchen. Wer das Plugin nicht zwingend braucht: deinstallieren.
Faktenbox: CVE-2026-8732
CVSS-Score (kritisch)
betroffene Versionen
verkaufte Lizenzen (Envato)
Login nötig für Übernahme
Was ist WP Maps Pro überhaupt?
WP Maps Pro ist ein Premium-Plugin für WordPress, das Unternehmen, Shops, Immobilienportalen und Verzeichnis-Websites ermöglicht, interaktive Karten mit Google Maps oder OpenStreetMap einzubinden. Besonders häufig wird es als Standortfinder oder Filialübersicht eingesetzt.
Laut den verfügbaren Verkaufszahlen wurde das Plugin bereits mehr als 15.000 Mal über den Envato Marketplace verkauft. Damit betrifft die Sicherheitslücke potenziell tausende produktive Websites weltweit.
Die Schwachstelle: CVE-2026-8732
Die Sicherheitslücke wurde mit einem CVSS-Wert von 9,8 als kritisch eingestuft und betrifft alle Versionen bis einschließlich 6.1.0. Bereits seit Veröffentlichung der Details beobachten Sicherheitsunternehmen aktive Ausnutzungsversuche.
Ein Angreifer benötigt:
⚠️ Eine einzelne Anfrage an die verwundbare Funktion genügt, um sich Administratorrechte zu verschaffen.
Wie konnte so etwas passieren?
Die Ursache liegt in einer eigentlich gut gemeinten Support-Funktion. WP Maps Pro besitzt eine Funktion für „temporären Support-Zugang" – Entwickler oder Support-Mitarbeiter sollten dadurch bei Problemen auf Kundensysteme zugreifen können.
Der entsprechende AJAX-Endpunkt war öffentlich erreichbar und wurde lediglich durch einen sogenannten Nonce-Token geschützt. Das Problem: Dieser Token wurde gleichzeitig auf jeder öffentlichen Webseite im Quellcode ausgegeben und war somit für jeden Besucher sichtbar. Dadurch wurde die gesamte Schutzmaßnahme praktisch wertlos.
Der Angriffspfad in 5 Schritten:
Öffentliche Webseite aufrufen
Angreifer ruft eine beliebige Seite der WordPress-Installation auf.
Nonce-Token auslesen
Der vermeintliche Schutz-Token steht im HTML-Quelltext für jeden lesbar.
Support-Funktion ansprechen
Mit dem Token wird der ungeschützte AJAX-Endpunkt direkt aufgerufen.
Administrator-Konto erzeugen
Die Support-Logik legt einen neuen Admin-Account an – ohne Prüfung.
Automatisch als Admin angemeldet
Der Angreifer hat sofort vollen Zugriff auf die gesamte Website.
Keine Brute-Force-Angriffe. Keine gestohlenen Zugangsdaten. Keine Malware nötig – nur eine manipulierte Anfrage.
Warum Administratorrechte so gefährlich sind
Viele unterschätzen die Folgen eines kompromittierten WordPress-Admins. Sobald Angreifer Administratorrechte besitzen, können sie unter anderem:
Persistente Zugänge auch nach Update der Lücke.
Manipulation von header.php, footer.php & Co.
Besucher landen auf gefälschten Login-Seiten.
Tausende versteckte Seiten für Glücksspiel & Pharma.
JavaScript-Skimmer im Checkout von WooCommerce.
Drive-by-Downloads über manipulierte Dateien.
Schattenkonten mit Admin-Rechten für Wiedereinstieg.
Komplette Website-Übernahme bis Ransomware.
Besonders kritisch wird das bei:
In diesen Bereichen liegen personenbezogene Daten, Kundendatenbanken oder Zahlungsinformationen – ein perfektes Ziel für Datendiebstahl und Ransomware. Mehr dazu in unserem Artikel WordPress unter Beschuss: Plugins als Sicherheitsrisiko.
Angriffe laufen bereits
Laut Wordfence wurden innerhalb von nur 24 Stunden bereits mehrere tausend Angriffsversuche registriert und blockiert. Die Schwachstelle ist damit kein theoretisches Risiko mehr, sondern wird aktiv ausgenutzt. Automatisierte Scanner durchsuchen das Internet bereits nach verwundbaren Installationen.
Viele Betreiber merken den eigentlichen Einbruch erst Wochen später – wenn Phishing-Weiterleitungen, SEO-Spam oder Datenabflüsse auffallen.
Wer ist betroffen?
WP Maps Pro ≤ 6.1.0
Verwundbar – sofortiges Update notwendig.
WP Maps Pro 6.1.1+
Sicher – Support-Funktion nur noch für authentifizierte Administratoren.
Sofortmaßnahmen für Administratoren
Plugin auf 6.1.1+ aktualisieren
Sofortiges Update aller Installationen. Vorher Backup ziehen.
Benutzerliste kontrollieren
Im Backend: Benutzer → Alle. Nach unbekannten Admin-Konten suchen.
Server- & WP-Logs prüfen
Access-Logs, error.log, wp-content/uploads auf verdächtige Dateien.
Installierte Plugins prüfen
Liste mit Soll-Stand vergleichen, unbekannte Plugins entfernen.
Dateisystem auf Backdoors scannen
Insbesondere wp-config.php, .htaccess, mu-plugins, Theme-Files.
Alle Admin-Passwörter ändern
Pflicht: starke Passwörter + MFA für jeden Admin-Account.
Sicherheitsplugin & WAF aktivieren
Wordfence, Patchstack oder Cloudflare WAF mit aktuellen Regeln.
Login-URL härten
Standard-/wp-login.php verschleiern, Brute-Force-Limits setzen.
Bei Verdacht: Forensik
Bei kompromittierter Seite professionelle Bereinigung statt Restore.
Falls bereits ein unbekannter Administrator vorhanden ist, sollte die Website als potenziell kompromittiert betrachtet werden – Details in unserer Notfall-Anleitung „Server gehackt". Professionelle Pflege übernimmt unser Team über Webentwicklung & Wartung in Kombination mit IT-Sicherheit.
🧠 Wasacon Insight
Interessanterweise entstehen viele kritische Sicherheitslücken nicht durch komplexe Programmierfehler, sondern durch Komfortfunktionen: Support-Zugänge, Debug-Interfaces, Import-Tools, Backup-Funktionen, API-Schnittstellen.
Funktionen, die eigentlich Zeit sparen sollen, werden so zum direkten Einfallstor. Der Fall WP Maps Pro zeigt erneut: Eine einzige fehlerhafte Zugriffskontrolle reicht für die vollständige Übernahme. Wer WordPress produktiv einsetzt, muss Plugins regelmäßig auf Sicherheitsupdates prüfen und ungenutzte Erweiterungen konsequent entfernen.
🔥 Fazit
Die Schwachstelle wird bereits aktiv ausgenutzt.
Bei betroffenen WordPress-Systemen besteht akuter Handlungsbedarf – jetzt updaten, prüfen, härten.
Häufig gestellte Fragen
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
