Der Generalschlüssel: Wenn das Verwaltungswerkzeug der Agentur zum Einfallstor wird

Wer viele WordPress-Websites betreut, verwaltet sie zentral — sonst wäre die Arbeit nicht zu leisten. Auf jeder betreuten Website liegt dafür ein Plugin, das den Zugang der Agentur einrichtet. Es ist der Generalschlüssel: ein einziges Werkzeug, das auf hunderte Websites passt. Am 19. August 2026 fand Wordfence in einem der verbreitetsten dieser Werkzeuge eine Lücke mit dem Schweregrad 9,8 von 10 — sie erlaubte Unbefugten ohne Anmeldung eine Administratorsitzung. Dieser Beitrag erklärt den Fall, benennt die Eigenschaft dieser Werkzeugklasse, die dabei sichtbar wird, und liefert die Fragen, mit denen Sie Ihren eigenen Dienstleister dazu prüfen können.

Das Wichtigste in Kürze

Der Fall. Im Plugin «WPMU DEV Dashboard» bis Version 5.0.1 liess sich die Anmeldung umgehen (CVE-2026-76581, Schweregrad 9,8). Korrigiert in 5.0.2 vom 24. August 2026. Betroffen waren Websites mit aktivierter Hub-Anmeldung, die einem Administratorkonto zugeordnet war.
Die Eigenschaft dahinter ist wichtiger als der Fall. Verwaltungs-Plugins tragen dauerhaft Administratorrechte, oft mit einem Anmeldeweg, der ohne Passwort auskommt. Eine Lücke darin ist nie eine Lücke auf einer Website, sondern auf allen Websites, die dasselbe Werkzeug tragen.
Diese Werkzeuge stehen meist nicht im offiziellen Verzeichnis. Wir haben es geprüft: wordpress.org/plugins/wpmudev-updates/ leitet auf eine Suchseite um, das Plugin ist dort nicht gelistet. Damit fehlen ihm die öffentliche Versionsstatistik — und die vertraute Update-Meldung im Dashboard, sofern der Anbieter keinen eigenen Weg dafür einrichtet.
Das ist kein Vorwurf an einen Anbieter. Die Lücke wurde von einem Sicherheitsteam gefunden, nicht von Angreifern, und binnen fünf Tagen korrigiert. Genau so soll es laufen. Der Punkt ist die Bauart, nicht das Verschulden.
Sie können das prüfen, ohne Fachwissen. Sieben Fragen an Ihren Dienstleister — und die Antworten sagen Ihnen mehr über Ihr Risiko als jede Auflistung von Schwachstellen.

Der Fall

Das WPMU DEV Dashboard verbindet eine WordPress-Website mit der Verwaltungsoberfläche des Anbieters. Von dort aus lassen sich Updates einspielen, Sicherungen anstossen, Berichte erzeugen — und man kann sich mit einem Klick in die verbundene Website einloggen, ohne dort ein Passwort einzugeben. Diese Funktion heisst Hub Single-Sign-On. Sie ist der Grund, warum das Werkzeug Zeit spart, und sie ist der Ort, an dem der Fehler steckte.

Angabe	Wert
Kennung	CVE-2026-76581
Schweregrad	9,8 von 10 — «kritisch»
Betroffen	WPMU DEV Dashboard bis einschliesslich 5.0.1
Korrigiert in	5.0.2, veröffentlicht am 24. August 2026
Gefunden am	19. August 2026, bei eigener Forschung von Wordfence
Verbreitung	rund 350’000 aktive Installationen (Schätzung von Wordfence)
Voraussetzung	Hub Single-Sign-On aktiviert und einem Administratorkonto zugeordnet

Die Eckdaten nach dem Bericht von Wordfence. Die Installationszahl ist eine Schätzung — eine amtliche gibt es nicht, weil das Plugin nicht im offiziellen Verzeichnis liegt.

Zur Einordnung des Schweregrads: 9,8 ist praktisch das Maximum für eine Lücke, die ohne Anmeldung ausnutzbar ist und zur vollständigen Übernahme führt. Zum Vergleich — die Lücke im Backup-Plugin All-in-One WP Migration, über die wir separat berichten, liegt bei 8,8, weil sie zusätzlich eine Handlung des Administrators voraussetzt. Hier war keine nötig.

Wie aus einer Unterschrift ein Generalschlüssel wird

Die Anmeldung ohne Passwort funktioniert über eine kryptografische Unterschrift. Die Verwaltungsoberfläche unterschreibt eine Nachricht, die Website prüft die Unterschrift, und wenn sie stimmt, wird die Person eingeloggt. Das Verfahren ist etabliert und für sich genommen in Ordnung.

Der Ablauf hatte zwei Schritte. In Schritt eins unterschrieb das Plugin eine Nachricht, die aus mehreren aneinandergehängten Werten bestand — darunter die Domain. In Schritt zwei prüfte es die Unterschrift gegen eine Nachricht, die aus denselben Werten bestand, aber ohne die Domain. Beide Male wurden die Werte ohne Trennzeichen aneinandergehängt.

Daraus ergibt sich der Angriff: Man holt sich in Schritt eins eine gültige Unterschrift, legt den Wert, der bei der Prüfung fehlt, an eine andere Stelle — und schon prüft Schritt zwei eine Nachricht, die zufällig genau der unterschriebenen entspricht. Die Unterschrift stimmt. Die Sitzung wird eröffnet. Mit Administratorrechten.

Das Bild dazu ist alt und passt genau: Ein Siegel, das «AB» und «C» beglaubigt, beglaubigt ohne Trennzeichen auch «A» und «BC». Version 5.0.2 löst das, indem die in Schritt eins erzeugte Unterschrift auf dem Server hinterlegt und zurückgewiesen wird, wenn sie in Schritt zwei erneut auftaucht.

Bemerkenswert daran ist, wie unspektakulär der Fehler ist. Kein Programmierfehler im engeren Sinn, kein vergessener Filter — zwei Stellen im Programm, die dasselbe leicht unterschiedlich zusammensetzen. Solche Fehler entstehen in gut gemachter Software und werden von aussen nicht gefunden, sondern nur beim gezielten Hinsehen. Genau das ist hier passiert.

Die stille Eigenschaft: ausserhalb des Verzeichnisses

Wer die Verbreitung dieser Lücke nachrechnen will, stösst auf eine Hürde. Für Plugins aus dem offiziellen Verzeichnis veröffentlicht wordpress.org zwei Zahlen: die aktiven Installationen und die Verteilung auf die Versionen. Damit lässt sich jederzeit feststellen, wie viele Websites eine Korrektur eingespielt haben.

Für das WPMU DEV Dashboard gibt es diese Zahlen nicht. Wir haben es nachgeprüft: Die Adresse wordpress.org/plugins/wpmudev-updates/ antwortet mit einer Weiterleitung auf eine Suchseite, und eine Suche im Verzeichnis findet das Plugin nicht. Es wird direkt vom Anbieter ausgeliefert. Die 350’000 Installationen sind deshalb eine Schätzung von Wordfence und keine amtliche Angabe.

Das ist keine Nachlässigkeit — kommerzielle Plugins dürfen im Verzeichnis gar nicht liegen. Aber es hat drei Folgen, die man kennen muss:

Keine Aussenkontrolle über den Patch-Stand. Niemand kann von aussen sagen, wie viele Websites noch auf 5.0.1 laufen. Auch die Betreiber selbst wissen es nur, wenn sie nachsehen.
Kein automatischer Update-Hinweis von WordPress. Die vertraute rote Zahl neben «Plugins» stammt vom Abgleich mit wordpress.org. Für Plugins ausserhalb des Verzeichnisses muss der Anbieter diesen Abgleich selbst einrichten — funktioniert das nicht, etwa weil eine Lizenz abgelaufen ist, bleibt die Meldung aus. Das Plugin sieht dann aktuell aus, ohne es zu sein.
Verzögerte Sichtbarkeit in Sicherheitsdatenbanken. Meldungen zu Plugins ausserhalb des Verzeichnisses erreichen weniger Werkzeuge und weniger Leser.

Die Zuspitzung daraus: Ausgerechnet die Werkzeuge mit den weitreichendsten Rechten stehen häufig ausserhalb der Maschinerie, die im WordPress-Ökosystem für Sichtbarkeit und automatische Aktualisierung sorgt. Das gilt für Wartungs-Dashboards ebenso wie für kommerzielle Formular-, Shop- und Baukasten-Erweiterungen.

Ein zweiter Fall aus demselben Sommer

Damit der erste Fall nicht als Einzelfall gelesen wird: Am 18. August 2026 berichtete SecurityWeek über eine Lücke im Formular-Plugin Forminator (CVE-2026-15748, Schweregrad 9,8) — ein Fehler in der Prüfung hochgeladener Dateien, über den sich ausführbare Dateien ablegen liessen. Die Korrektur lag seit dem 31. Juli in Version 1.56.2 vor. Nach der Zählung von SecurityWeek liefen zum Zeitpunkt des Berichts noch rund 300’000 der über 600’000 Installationen auf einer verwundbaren Version.

Auffällig ist hier vor allem das Muster, nicht der Anbieter: Zwischen Korrektur und Bericht lagen achtzehn Tage, und in dieser Zeit hatte die Hälfte der Installationen nicht aktualisiert. Dieselbe Grössenordnung wie beim Backup-Plugin, dieselbe Lücke zwischen «behoben» und «eingespielt».

Zur aktiven Ausnutzung: Wordfence macht in seiner Veröffentlichung zum Dashboard-Fall keine Angabe dazu, und die uns vorliegenden Fachberichte zu Forminator nannten keine Angriffe in freier Wildbahn. Einzelne Fachblogs berichten von laufenden Angriffen auf WPMU-DEV-Komponenten; wir konnten das an keiner Primärquelle bestätigen und führen es deshalb als unbestätigt. Für die Handlungsanweisung ändert das nichts — sie lautet ohnehin: aktualisieren.

Was daraus folgt — und was nicht

Zuerst das, was nicht folgt: dass zentrale Verwaltung ein Fehler wäre. Die Alternative ist nicht «kein Generalschlüssel», sondern «hundert einzelne Schlüssel, die niemand zählt». In der Praxis heisst das: Passwörter in einer Tabelle, Zugänge ehemaliger Mitarbeitender, die nie entzogen wurden, und Updates, die niemand einspielt, weil das Einloggen zu mühsam ist. Ein zentral verwalteter Bestand ist im Regelfall der sicherere.

Was folgt, ist eine andere Art, das Risiko anzuschauen. Bei einer einzelnen Website fragt man: Wie wahrscheinlich ist ein Angriff? Bei einem Verwaltungswerkzeug fragt man: Was ist der grösstmögliche Schaden, wenn genau dieses eine Ding versagt? Die Antwort lautet: alle betreuten Websites gleichzeitig. Diese Frage entscheidet über die Sorgfalt, mit der ein solches Werkzeug ausgewählt, aktualisiert und eingeschränkt wird.

Praktisch heisst das: Die Anmeldung ohne Passwort wird nur eingeschaltet, wo sie tatsächlich gebraucht wird — nicht vorsorglich auf jeder Website. Die Zuordnung zeigt nicht auf ein Administratorkonto, wenn eine geringere Berechtigung reicht. Updates dieses einen Plugins haben eine kürzere Frist als alle übrigen. Und es gibt eine Liste, auf welchen Websites es überhaupt liegt — ohne die kann man im Ernstfall nicht handeln.

Sieben Fragen an Ihren Dienstleister

Diese Fragen setzen kein Fachwissen voraus. Aussagekräftig ist weniger die einzelne Antwort als die Art, wie geantwortet wird: konkret und ohne Zögern, oder ausweichend.

Welche Plugins von Ihnen laufen auf meiner Website? Gemeint sind die Werkzeuge des Dienstleisters, nicht die der Website. Eine gute Antwort ist eine Liste, keine Beschreibung.
Können Sie sich ohne mein Passwort bei mir einloggen? Meist ja — das ist in Ordnung und praktisch. Wichtig ist, dass die Antwort «ja» lautet und nicht «nein», wenn es faktisch «ja» ist.
Wer bei Ihnen kann das, und wie ist dieser Zugang gesichert? Zwei-Faktor-Anmeldung auf dem Verwaltungskonto ist der entscheidende Punkt. Fällt dieses Konto, fällt alles daran.
Was passiert mit meinem Zugang, wenn wir die Zusammenarbeit beenden? Die Antwort sollte einen Ablauf beschreiben — Plugin entfernen, Verbindung trennen, Konten schliessen —, nicht eine Absichtserklärung.
Wie schnell spielen Sie ein Sicherheitsupdate für Ihr eigenes Werkzeug ein? Wenn die Frist dieselbe ist wie für ein Kontaktformular-Plugin, ist die Risikobetrachtung nicht gemacht.
Woher erfahren Sie von einer Lücke in diesem Werkzeug? Bei Plugins ausserhalb des offiziellen Verzeichnisses kommt der Hinweis nicht von allein ins Dashboard. Es braucht eine Quelle, die aktiv beobachtet wird.
Bekomme ich ein Verzeichnis meiner Zugänge, das ich selbst lesen kann? Wer nicht weiss, wer Schlüssel zu seiner Website hat, kann sie auch nicht zurückfordern.

Was jetzt zu tun ist

Nachsehen, ob das Plugin bei Ihnen liegt. Unter Plugins → Installierte Plugins nach «WPMU DEV Dashboard» suchen. Steht dort 5.0.1 oder tiefer, gehört es aktualisiert — heute, nicht beim nächsten Wartungsfenster.
Wenn kein Update möglich ist: Hub-Anmeldung abschalten. Das entfernt die Voraussetzung des Angriffs und ist die richtige Zwischenlösung, bis die neue Version läuft.
Benutzerliste durchsehen. Unter Benutzer auf unbekannte Administratorkonten prüfen, insbesondere solche, die zwischen dem 19. und 24. August 2026 entstanden sind. Ein fremdes Administratorkonto ist der übliche erste Rückstand eines erfolgreichen Angriffs.
Formular-Plugin gleich mitprüfen. Läuft Forminator, muss die Version mindestens 1.56.2 sein.
Die sieben Fragen stellen. Auch wenn beide Plugins bei Ihnen nicht vorkommen: Irgendein Werkzeug mit Generalschlüssel liegt auf fast jeder betreuten Website.

Fazit

Der Fall ist gut ausgegangen: gefunden von einem Sicherheitsteam, korrigiert in fünf Tagen, veröffentlicht mit vollständiger Beschreibung. Das ist das Verhalten, das man sich von einem Anbieter wünscht, und es spricht für ihn, nicht gegen ihn.

Was bleibt, ist die Einsicht in die Bauart. Zentrale Verwaltung tauscht viele kleine Risiken gegen ein einzelnes grosses. Dieser Tausch lohnt sich fast immer — aber nur, wenn das eine grosse Risiko auch entsprechend behandelt wird: mit kürzeren Fristen, engeren Rechten und einem Verzeichnis, das jederzeit beantwortet, wo dieser Schlüssel überall passt.

Als Betrieb müssen Sie das nicht selbst können. Sie müssen nur wissen, dass es diese Frage gibt, und sie stellen. Wenn Sie unsicher sind, was auf Ihrer Website an fremden Zugängen liegt: Schicken Sie uns die Adresse. Wir sehen nach, welche Verwaltungswerkzeuge installiert sind und in welchem Stand, und Sie erhalten innert einem Werktag eine verständliche Aufstellung — auch dann, wenn sie lautet, dass alles in Ordnung ist. Wie wir betreute Websites führen, steht unter WordPress-Support und Wartung. Betreuen Sie selbst Kundenprojekte und wollen den Betrieb unter Ihrer Marke abgeben, schreiben Sie uns das dazu — dafür gelten andere Konditionen als die veröffentlichten Preise. Der direkte Weg führt über das Kontaktformular.

Häufige Fragen

Ich betreue meine Website selbst. Betrifft mich das?

Wahrscheinlich weniger, aber prüfen sollten Sie es. Verwaltungs-Plugins bleiben oft nach dem Ende einer Zusammenarbeit installiert — niemand denkt daran, sie zu entfernen. Ein Blick in die Plugin-Liste auf Namen, die Sie nicht selbst installiert haben, ist in fünf Minuten erledigt.

Soll ich meiner Agentur den Zugang entziehen?

Nein — jedenfalls nicht wegen dieses Vorfalls. Ohne Zugang kann niemand Updates einspielen, und dann sind Sie schlechter dran als vorher. Sinnvoll ist der umgekehrte Weg: Fragen stellen, den Umfang des Zugangs verstehen und ihn dokumentiert haben. Ein Entzug ist die richtige Antwort auf eine ausweichende Antwort, nicht auf eine Sicherheitsmeldung.

Warum steht das Plugin nicht im offiziellen WordPress-Verzeichnis?

Weil es zu einem kostenpflichtigen Dienst gehört. Das Verzeichnis nimmt nur frei lizenzierte Plugins auf; kommerzielle Erweiterungen werden vom Anbieter selbst ausgeliefert. Das ist völlig üblich und kein Warnzeichen. Es bedeutet nur, dass Aktualisierung und Benachrichtigung über den Anbieter laufen und nicht über den WordPress-Kern — und dass es keine öffentliche Statistik zum Verbreitungsstand gibt.

Woran erkenne ich, ob jemand die Lücke bei mir genutzt hat?

Der zuverlässigste erste Blick geht auf die Benutzerliste: unbekannte Administratorkonten, geänderte E-Mail-Adressen bestehender Konten, ungewöhnliche Anmeldezeiten. Danach das Plugin-Verzeichnis auf Einträge, die niemand installiert hat. Findet sich etwas, ist die Website als übernommen zu behandeln — ein Update allein bereinigt sie nicht. Das Vorgehen dafür steht in WordPress gehackt — so bereinigen Sie Ihre Website.

Ist der Schweregrad 9,8 schlimmer als die 8,8 beim Backup-Plugin?

Nach dieser Skala ja, und der Unterschied hat einen konkreten Grund: Beim Backup-Plugin muss zusätzlich ein Administrator ein Archiv einspielen, damit der Angriff zündet. Hier war keine Handlung nötig. Beide Zahlen beschreiben allerdings das Schadenspotenzial, nicht die Wahrscheinlichkeit — wie man das auseinanderhält, steht in WordPress-Schwachstellen richtig einordnen.

Wir sind eine Agentur und betreuen fremde Websites. Was ändern wir konkret?

Drei Dinge, die wenig kosten: Erstens ein Verzeichnis, das für jede betreute Website festhält, welche Verwaltungswerkzeuge dort liegen — ohne das ist im Ernstfall keine Reihenfolge möglich. Zweitens eine eigene, kürzere Frist für Updates dieser Werkzeuge, getrennt vom übrigen Wartungsfenster. Drittens die Zugänge auf das nötige Mass zurückschneiden: Anmeldung ohne Passwort nur dort, wo sie gebraucht wird, und nicht grundsätzlich auf ein Administratorkonto.

Quellen

Wordfence: Argus Finds Critical Authentication Bypass in WPMU DEV Dashboard Plugin ↗ — die Veröffentlichung des Sicherheitsteams, hier in der frei zugänglichen Spiegelung bei malware.news; Quelle für Fundtag, CVE-Kennung, Schweregrad, betroffene und korrigierte Version, die Voraussetzung Hub-SSO, die geschätzte Installationszahl und die Termine der Firewall-Regeln (25. August für zahlende, 24. September für freie Nutzer)
The Hacker News: Five Critical WordPress Plugin and Theme Flaws Enable Site Takeover or RCE ↗ — unabhängige Einordnung derselben Lücke im Kreis der kritischen Meldungen dieses Sommers
WPScan: WPMU DEV Dashboard < 5.0.2 — Unauthenticated Administrator Authentication Bypass ↗ — Quelle für die technische Beschreibung der beiden Signaturschritte
Rapid7: CVE-2026-76581 ↗ — unabhängiger Datenbankeintrag zur Bestätigung von Schweregrad und Versionsständen
SecurityWeek: 300,000 WordPress Sites Potentially Exposed to Hacking Due to Form Plugin Flaw ↗ — Bericht vom 18. August 2026 zu Forminator; Quelle für CVE-Kennung, Schweregrad, die Korrektur in 1.56.2 vom 31. Juli 2026 und die genannten Installationszahlen
wordpress.org: Suchergebnis für «wpmudev-updates» ↗ — die Weiterleitung, auf der die Plugin-Adresse endet; Beleg dafür, dass das Plugin nicht im offiziellen Verzeichnis liegt (eigene Prüfung am 7. September 2026)

Stand: 7. September 2026. Die Installationszahl von rund 350’000 ist eine Schätzung von Wordfence; eine offizielle Zahl existiert nicht, weil das Plugin nicht im Verzeichnis von wordpress.org geführt wird. Berichte über laufende Angriffe stammen aus Einzelquellen und sind hier ausdrücklich als unbestätigt gekennzeichnet; sollten sie sich erhärten, ergänzen wir den Beitrag.