Die All in One SEO Sicherheitslücke (CVE-2026-19856) betrifft alle Versionen vor 5.0.2.1 und lässt Fremde ohne Login Shortcodes auf deiner Webseite ausführen. Das Update auf 5.0.2.1 ist seit dem 1. Oktober 2026 verfügbar und schließt die Lücke. Eilig ist es aus einem einfachen Grund: Am 21. Oktober 2026 veröffentlicht die Schwachstellen-Datenbank WPScan den Beispielcode für den Angriff. Ab dann kann ihn jeder nachbauen. In diesem Artikel erfährst du, wie du in zwei Minuten prüfst, ob deine Seite betroffen ist, und was du tust, wenn das Update nicht durchläuft.
Letzte Aktualisierung: Oktober 2026
Was bei All in One SEO passiert ist: die Zeitleiste
All in One SEO ist eines der verbreitetsten SEO-Plugins für WordPress. Laut der offiziellen Plugin-Seite auf wordpress.org läuft es auf mehr als zwei Millionen Webseiten. Viele Handwerksbetriebe und Praxen haben es irgendwann installiert, weil eine Anleitung es empfohlen hat. Danach hat sich oft niemand mehr darum gekümmert.
Die Lücke hat der Sicherheitsforscher Jakub Herman gefunden und an WPScan gemeldet. Der Ablauf ist kurz und klar:
| Datum | Ereignis | Was das für dich heißt |
|---|---|---|
| 1. Oktober 2026 | Version 5.0.2.1 erscheint mit verbessertem Schutz für Shortcodes auf Suchseiten | Das Update steht in deinem WordPress-Dashboard bereit |
| 2. Oktober 2026 | WPScan veröffentlicht den Eintrag CVE-2026-19856 | Die Lücke ist öffentlich bekannt, Details zum Angriffsweg auch |
| 21. Oktober 2026 | WPScan veröffentlicht den Beispielcode (Proof of Concept) | Ab hier reicht Kopieren statt Verstehen |
Der WPScan-Eintrag beschreibt das Problem nüchtern. Das Plugin erkennt nicht zuverlässig, welche Shortcodes in Nutzereingaben stecken, bevor es entscheidet, welche es entfernt. Dadurch können nicht angemeldete Besucher beliebige Shortcodes ausführen, die auf der Seite registriert sind. Der Weg führt über die ganz normale Suchanfrage deiner Webseite.
Ein Satz im Eintrag ist für ältere Installationen besonders unangenehm. Auf Seiten, die von älteren Versionen aktualisiert wurden, ist der Schutz laut WPScan komplett abgeschaltet. Dort braucht ein Angreifer nicht einmal eine besonders präparierte Eingabe.
Was ist ein Shortcode?
Ein Shortcode ist ein kurzer Platzhalter in eckigen Klammern, den WordPress beim Laden einer Seite durch Inhalt ersetzt. Schreibt man etwa den Shortcode eines Formular-Plugins in eine Seite, erscheint dort das fertige Kontaktformular. Fast jedes größere Plugin bringt eigene Shortcodes mit: Formulare, Bildergalerien, Mitgliederbereiche, Download-Listen, Buchungskalender.
Normalerweise entscheidet nur, wer im Backend Seiten bearbeitet, wo welcher Shortcode steht. Genau diese Grenze fällt bei der All in One SEO Sicherheitslücke weg. Ein Fremder kann über das Suchfeld Shortcodes auslösen, die du nie auf eine öffentliche Seite gesetzt hättest.
Warum eine „mittlere“ Lücke trotzdem eilt
WPScan bewertet die Lücke mit einem CVSS-Wert von 6,5. Das gilt als mittleres Risiko. Viele Betreiber lesen das und schieben das Update auf nächste Woche. Ich halte das hier für einen Fehler, und zwar aus drei Gründen, die sich gegenseitig verstärken.
Was ist CVSS?
CVSS (Common Vulnerability Scoring System) ist ein Punktesystem von 0 bis 10, das die technische Schwere einer Sicherheitslücke beschreibt. Es bewertet, wie leicht ein Angriff gelingt und was er anrichten kann. Was der Wert nicht kennt: deine konkrete Webseite mit ihren übrigen Plugins.
Genau das ist der Haken. Der Schaden hängt davon ab, welche Shortcodes auf deiner Seite registriert sind. Auf einer schlanken Seite mit drei Plugins passiert vielleicht wenig. Hast du einen Mitgliederbereich, geschützte Downloads oder ein Buchungs-Plugin, sieht das anders aus. Dann kann ein Shortcode Inhalte ausgeben, die eigentlich nur angemeldete Kunden sehen sollen.
Der zweite Grund ist der Angriffsweg. Kein Login, keine Mitwirkung eines Nutzers, ein einfacher Aufruf über das Netz. Solche Lücken lassen sich automatisiert gegen tausende Seiten gleichzeitig testen. Ob deine Seite klein ist, spielt für einen Scanner keine Rolle.
Der dritte Grund ist die Geschwindigkeit, mit der Angreifer heute reagieren. Die Zahlen von Patchstack, einem Anbieter für WordPress-Sicherheit, sind dazu ziemlich deutlich:
Rund die Hälfte der Schwachstellen mit hoher Auswirkung wird innerhalb von 24 Stunden ausgenutzt. Bei intensiv angegriffenen Lücken liegt der gewichtete Median bis zum ersten Angriffsversuch bei 5 Stunden.
Quelle: Patchstack, State of WordPress Security in 2026, Erhebungsjahr 2025, Methodik: Auswertung der ersten Angriffsversuche nach Ausrollen der Schutzregeln (RapidMitigate) auf den von Patchstack geschützten Webseiten
Bei All in One SEO hast du noch einen Puffer bis zum 21. Oktober. Das ist großzügig. Ich würde ihn trotzdem nicht ausreizen, denn wer die Änderung im Quellcode vergleicht, braucht den offiziellen Beispielcode gar nicht.
91 Prozent der 11.334 neu entdeckten Schwachstellen im WordPress-Umfeld betrafen Plugins, 9 Prozent Themes.
Quelle: Patchstack, State of WordPress Security in 2026, Erhebungsjahr 2025, Datenbasis: alle 2025 in der Patchstack-Schwachstellendatenbank erfassten neuen Meldungen zu WordPress-Kern, Plugins und Themes
Das Risiko sitzt also selten im WordPress-Kern. Es sitzt in den Erweiterungen, die du einmal installiert und dann vergessen hast.
Gut die Hälfte der Installationen hängt auf alten Versionen
Ein Blick in die öffentliche Versionsstatistik von wordpress.org ist ernüchternd. Am 3. Oktober 2026 verteilte sich All in One SEO so auf die Versionszweige:
| Versionszweig | Anteil der Installationen | Betroffen? |
|---|---|---|
| 5.0.x | 48,08 Prozent | Ja, außer 5.0.2.1 |
| 4.9.x | 14,61 Prozent | Ja |
| 4.8.x | 7,54 Prozent | Ja |
| Ältere Zweige | 29,77 Prozent | Ja |
Rund 52 Prozent laufen also noch auf einem Zweig vor 5.0. Diesen Seiten fehlen mehrere Monate an Aktualisierungen, das Oktober-Update ist da nur das letzte Glied. Und auch im 5.0-Zweig sind viele Installationen noch auf 5.0.0 bis 5.0.2 und damit angreifbar.
Warum bleiben so viele Seiten stehen? Aus meiner Arbeit mit kleinen Betrieben kenne ich vor allem diese Ursachen:
- Automatische Updates sind aus: Viele Seiten wurden vor Jahren eingerichtet, als Plugin-Updates noch per Hand liefen. Die Einstellung hat nie jemand geändert.
- Der Sprung auf 5.0 wirkte riskant: Größere Versionssprünge schrecken ab. Wer einmal eine weiße Seite nach einem Update hatte, klickt nicht mehr gern.
- Die PHP-Version ist zu alt: Seit Version 5.0.2 verlangt All in One SEO mindestens PHP 7.4. Läuft dein Hosting noch auf einer älteren Version, bekommst du das Update gar nicht erst angeboten.
- Niemand fühlt sich zuständig: Die Agentur von damals gibt es nicht mehr, der Neffe studiert inzwischen woanders.
Der letzte Punkt ist der häufigste. Mehr dazu, wie schnell du auf Updates reagieren solltest, steht in meinem Artikel WordPress Update: wie schnell du reagieren musst.
All in One SEO Sicherheitslücke prüfen: so findest du deine Version
Die Prüfung dauert zwei Minuten. Du brauchst nur einen Admin-Zugang zu deinem WordPress.
- Melde dich im WordPress-Backend an (meist unter deinedomain.de/wp-admin).
- Klicke links auf „Plugins“ und dann auf „Installierte Plugins“.
- Suche in der Liste nach „All in One SEO“. Unter dem Namen steht die Versionsnummer.
- Steht dort 5.0.2.1 oder höher, bist du geschützt. Alles darunter ist betroffen.
- Erscheint ein gelber Hinweis „Eine neue Version ist verfügbar“, klicke auf „Jetzt aktualisieren“.
- Rufe danach die Startseite und eine Unterseite auf und teste das Suchfeld einmal selbst.
Findest du das Plugin gar nicht in der Liste, bist du von dieser Lücke nicht betroffen. Manche Seiten nutzen stattdessen Yoast SEO, Rank Math oder gar kein SEO-Plugin.
Ein Tipp aus der Praxis: Schalte bei All in One SEO direkt die automatischen Updates ein. Rechts in der Plugin-Zeile steht dafür der Link „Automatische Aktualisierungen aktivieren“. Ein SEO-Plugin ist kein Baustein, an dem man vor jedem Update lange testen muss.
Was tun, wenn deine Seite schon länger nicht aktualisiert wurde?
Läuft bei dir noch ein 4er-Zweig, aktualisiere nicht blind. Ein Sprung über viele Versionen kann Einstellungen umstellen, zum Beispiel Weiterleitungen oder die Sitemap. Lege vorher ein vollständiges Backup an, das Dateien und Datenbank umfasst. Viele Hoster bieten das mit einem Klick im Kundenbereich an.
Prüfe nach dem Update drei Dinge: Lädt die Sitemap unter /sitemap.xml? Stimmen die Seitentitel in der Google-Vorschau noch? Funktionieren deine Weiterleitungen? Wenn eines davon hakt, spielst du das Backup zurück und suchst die Ursache in Ruhe.
Wenn das Update nicht durchläuft
In den meisten Fällen ist das Update ein Klick. Es gibt aber typische Stolperstellen, die ich bei Kundenseiten immer wieder sehe.
Die PHP-Version deines Hostings ist zu alt
Seit 5.0.2 setzt All in One SEO PHP 7.4 voraus. Ob dein Hosting das erfüllt, siehst du in WordPress unter „Werkzeuge“ im Menüpunkt zum Zustand deiner Seite. Im Reiter „Bericht“ steht die PHP-Version unter „Server“. Liegt sie unter 7.4, stellst du sie im Kundenbereich deines Hosters um. Bei den meisten deutschen Anbietern ist das ein Auswahlfeld. Teste danach die ganze Seite, denn ein PHP-Wechsel kann auch andere alte Plugins stören.
Du nutzt die kostenpflichtige Pro-Version
Die Pro-Version bekommt ihre Updates über einen Lizenzschlüssel. Ist die Lizenz abgelaufen, bleibt das Update in der Regel aus, obwohl die kostenlose Version längst repariert ist. Ob und ab welcher Version die Pro-Fassung betroffen ist, nennt der WPScan-Eintrag nicht ausdrücklich. Prüfe deshalb im Kundenkonto beim Hersteller, ob deine Lizenz noch läuft und welche Version dort angeboten wird.
Das Update bricht mit einer Fehlermeldung ab
Meist fehlen Schreibrechte oder der Speicherplatz ist voll. Eine Meldung wie „Aktualisierung fehlgeschlagen“ ist kein Grund für Panik, aber ein Grund, nicht einfach weiterzumachen. Wer hier unsicher ist, holt sich lieber kurz Hilfe, bevor ein halbes Update die Seite lahmlegt. Typische Ursachen für eine leere Seite nach Updates habe ich im Beitrag WordPress weiße Seite: Ursachen und Lösung gesammelt.
Was ein SEO-Plugin auf deiner Seite alles anfasst
Diese Lücke ist ein guter Anlass, einmal grundsätzlich auf dein SEO-Plugin zu schauen. Ein SEO-Plugin greift auf fast jede Seite zu. Es schreibt Titel und Beschreibungen, erzeugt die Sitemap, verwaltet Weiterleitungen und oft auch strukturierte Daten. Damit gehört es zu den Plugins mit den meisten Berührungspunkten.
Moderne SEO-Plugins sind über die Jahre stark gewachsen. All in One SEO bringt heute KI-Textfunktionen, Keyword-Tracking, lokale Unternehmensdaten und vieles mehr mit. Jede dieser Funktionen ist zusätzlicher Code, der gepflegt werden muss. Für einen Webdesign für Handwerker-Betrieb mit zehn Unterseiten braucht es davon selten mehr als einen Bruchteil.
Ich frage bei Kundenseiten deshalb immer zwei Dinge:
- Welche Funktionen nutzt du wirklich? Meist sind es Seitentitel, Meta-Beschreibung, Sitemap und ein paar Weiterleitungen.
- Laufen zwei Plugins für denselben Zweck? Erstaunlich oft finde ich All in One SEO und Yoast parallel. Das erzeugt doppelte Angaben im Quelltext und doppelte Angriffsfläche.
Weniger Plugins heißt weniger Updates und weniger Risiko. Wie du die Grundlagen von SEO in WordPress sauber aufsetzt, erkläre ich ausführlich in WordPress SEO für Anfänger. Und welche weiteren Schutzmaßnahmen sich lohnen, steht in WordPress sicher machen: die wichtigsten Schutzmaßnahmen.
Woran du merkst, dass jemand die Lücke schon ausprobiert hat
Ganz sicher erkennst du das ohne Server-Protokolle nicht. Ein paar Hinweise lohnen trotzdem einen Blick. Tauchen in deiner Statistik plötzlich viele Suchanfragen mit eckigen Klammern auf? Erscheinen auf der Suchergebnisseite Inhalte, die dort nicht hingehören, etwa ein Formular oder eine Download-Liste? Dann aktualisiere sofort und frag bei deinem Hoster die Zugriffsprotokolle der letzten Tage an.
Prüfe außerdem unter „Benutzer“, ob dort Konten stehen, die du nicht kennst. Diese Lücke allein legt zwar keine Admins an. Sie kann aber je nach installierten Plugins Türen öffnen, die ein Angreifer weiter nutzt.
Häufige Fragen zur All in One SEO Sicherheitslücke
Welche Version von All in One SEO ist sicher?
Sicher ist Version 5.0.2.1 oder neuer. Alle älteren Versionen sind laut WPScan von CVE-2026-19856 betroffen, auch 5.0.0 bis 5.0.2.
Muss ich All in One SEO deinstallieren?
Nein, das Update reicht. Deinstallieren lohnt sich nur, wenn du das Plugin gar nicht nutzt oder parallel ein zweites SEO-Plugin aktiv ist.
Bis wann muss ich das Update spätestens einspielen?
Spiel es so bald wie möglich ein, auf jeden Fall vor dem 21. Oktober 2026. An diesem Tag veröffentlicht WPScan den Beispielcode, danach steigt das Risiko automatisierter Angriffe deutlich.
Ist meine Seite betroffen, wenn ich kein Suchfeld anzeige?
Wahrscheinlich ja. WordPress beantwortet Suchanfragen über die Adresszeile auch dann, wenn auf der Seite kein sichtbares Suchfeld steht.
Reicht es, automatische Updates einzuschalten?
Für die Zukunft ja, für den Moment nicht immer. Hängt deine Seite wegen einer zu alten PHP-Version fest, kommt auch ein automatisches Update nicht an.
Fazit: All in One SEO Sicherheitslücke heute schließen
Die All in One SEO Sicherheitslücke ist mit einem Klick behoben, wenn deine Seite gepflegt ist. Hängt sie auf einem alten Versionszweig, auf einer zu alten PHP-Version oder an einer abgelaufenen Lizenz, wird aus dem Klick eine kleine Baustelle. Genau diese Seiten machen laut wordpress.org gut die Hälfte aller Installationen aus. Prüf deine Version heute, nicht am 20. Oktober.
Wenn du beim Nachsehen merkst, dass auf deiner Seite seit Monaten niemand Updates eingespielt hat, ist das der eigentliche Befund. In der Webseiten-Wartung übernehme ich Plugin-Updates, tägliche Backups und die Kontrolle danach, damit eine Lücke wie diese bei dir gar nicht erst wochenlang offen steht. Buch dir ein kostenloses Erstgespräch, dann schauen wir gemeinsam auf deine WordPress-Seite und klären, was sie wirklich braucht.
