All-in-One WP Migration und Backup ist bis einschließlich Version 7.109 angreifbar. Die Lücke trägt die Kennung CVE-2026-19949, der Hersteller ServMask hat sie am 20. August 2026 mit Version 7.110 geschlossen. Wenn du das Plugin auf deiner WordPress-Seite hast, und die Chance dafür ist groß, dann brauchst du keine Analyse, sondern ein Update. Alles Weitere in diesem Artikel erklärt dir, warum ausgerechnet ein Backup-Werkzeug zum Einfallstor wird und was du danach ändern solltest, damit dich die nächste Meldung nicht wieder kalt erwischt.
Letzte Aktualisierung: September 2026
Was bei All-in-One WP Migration genau passiert ist
Der Sicherheitsforscher Jack Taylor hat die Schwachstelle Mitte August 2026 über den Sicherheitsdienst Wordfence gemeldet. Wordfence hat den Fund geprüft und ihn am 15. August an ServMask weitergegeben, den Hersteller des Plugins. Fünf Tage später stand die bereinigte Version 7.110 bereit. So schnell reagiert längst nicht jeder Anbieter, das muss man dem Hersteller lassen.
Der Fehler steckt in der Wiederherstellung eines Archivs. Beim Einspielen eines Backups schreibt das Plugin die alte Domain in der Datenbank auf die neue um. Dabei hat es Backslashes und Anführungszeichen falsch interpretiert. Wer vorher passend präparierte Zeichen in der Datenbank platziert hatte, konnte auf diesem Weg eigene Datenbankbefehle einschleusen.
Was ist eine Second-Order-SQL-Injection?
Eine Second-Order-SQL-Injection ist ein Angriff, bei dem der schädliche Befehl nicht sofort ausgeführt wird. Der Angreifer legt ihn zunächst nur ab, etwa in einem Datenbankfeld, wo er unauffällig liegen bleibt. Erst eine spätere, völlig normale Aktion verarbeitet diesen Inhalt unsauber und bringt ihn zur Ausführung.
Genau das macht den Fall bei All-in-One WP Migration so unangenehm. Die auslösende Handlung ist der Export und der anschließende Import deiner Seite. Also der Moment, in dem du dich am sichersten fühlst, weil du gerade ein Backup zurückspielst.
Der Weg hinein führte über Trackbacks, eine alte WordPress-Funktion für automatische Verweise zwischen Seiten. Ein Angreifer braucht dafür keinen Zugang, kein Passwort und kein Benutzerkonto. Er hinterlässt seinen Inhalt einfach von außen. Läuft später die Wiederherstellung, gibt die Datenbank den geheimen Import-Schlüssel des Plugins über einen öffentlich sichtbaren Kommentar preis. Mit diesem Schlüssel lässt sich ein manipuliertes Archiv einspielen, und darin kann ausführbarer Code stecken. Am Ende steht die vollständige Übernahme der Seite.
Im WordPress-Ökosystem wurden 11.334 neue Schwachstellen entdeckt, davon 91 Prozent in Plugins und 9 Prozent in Themes.
Quelle: Patchstack, State of WordPress Security in 2026, Erhebungsjahr 2025, Datenbasis: Schwachstellen-Koordinationsdatenbank mit über 1.000 angebundenen Plugin-Anbietern
Diese Zahl ordnet den Vorfall ein. Nicht WordPress selbst ist das Problem, im Kern gab es 2025 gerade einmal sechs Schwachstellen. Die Angriffsfläche entsteht durch die Erweiterungen, die wir alle installieren, weil sie uns Arbeit abnehmen.
Warum gerade dieses Plugin so viele Betriebe betrifft
All-in-One WP Migration läuft nach Angaben von WordPress.org auf mehr als fünf Millionen aktiven Installationen. Es ist das Standardwerkzeug, um eine WordPress-Seite von einem Server auf einen anderen zu bringen. Fast jede Agentur nutzt es beim Umzug von der Testumgebung auf die echte Domain.
Und genau da liegt der Haken für kleine Betriebe. Sehr viele Handwerks- und Dienstleistungsseiten tragen dieses Plugin, ohne dass der Inhaber es je bewusst installiert hätte. Es kam mit der Übergabe, hat einmal seinen Zweck erfüllt und ist danach im Hintergrund liegen geblieben. Ein Werkzeug, das man einmal im Jahr braucht, fällt bei der Update-Runde am wenigsten auf.
Zum Zeitpunkt der ersten großen Presseberichte Anfang September 2026 hatte laut BleepingComputer nur rund ein Drittel der Installationen aktualisiert. Rechnerisch liefen damit über drei Millionen Seiten weiter mit der verwundbaren Fassung. Das ist keine Zahl aus einem Nischen-Plugin, das ist ein erheblicher Teil des deutschsprachigen Mittelstands im Netz.
Was du jetzt konkret tun musst
Der Ablauf ist kurz. Du brauchst dafür weder einen Entwickler noch besondere Technikkenntnisse, nur den Zugang zu deinem WordPress-Adminbereich.
- Version prüfen: Melde dich an und öffne unter Plugins die Übersicht der installierten Erweiterungen. Suche nach All-in-One WP Migration and Backup und sieh dir die Versionsnummer an.
- Aktualisieren: Steht dort eine Nummer kleiner als 7.110, klicke auf Aktualisieren. Das dauert wenige Sekunden.
- Zusatzmodule mitnehmen: Wenn du kostenpflichtige Erweiterungen dieses Herstellers einsetzt, etwa für größere Dateien oder Cloud-Speicher, aktualisiere diese im selben Durchgang.
- Kommentare durchsehen: Wirf einen Blick in die Kommentare und in den Spam-Ordner. Auffällige Einträge mit wirren Zeichenketten oder langen Backslash-Ketten gehören gelöscht.
- Trackbacks abschalten: Unter Einstellungen und Diskussion kannst du Pingbacks und Trackbacks deaktivieren. Für eine normale Unternehmensseite bringen sie ohnehin keinen Nutzen.
Danach ist der akute Teil erledigt. Die Lücke ist geschlossen, weitere Schritte sind nur nötig, wenn du Grund zur Sorge hast.
Wann du genauer hinsehen solltest
Ein einfaches Update reicht nicht, wenn du in den vergangenen Wochen tatsächlich ein Backup eingespielt oder deine Seite umgezogen hast, während noch die alte Version aktiv war. Dann prüfe zusätzlich, ob im Adminbereich Benutzerkonten stehen, die du nicht kennst. Sieh dir außerdem an, ob im Uploads-Ordner PHP-Dateien liegen, die dort nichts zu suchen haben.
Wenn du nicht selbst nachsehen willst, hilft ein Blick in die Update-Historie deines Hosters. Die meisten Anbieter protokollieren, wann zuletzt Plugin-Aktualisierungen liefen. Liegt der letzte Eintrag Monate zurück, hast du nicht nur bei All-in-One WP Migration ein Thema, sondern vermutlich bei einem halben Dutzend weiterer Erweiterungen. Ein einzelnes Update ist dann Symptombehandlung.
Es gibt bisher keine öffentlichen Hinweise darauf, dass die Lücke im großen Stil ausgenutzt wurde. Beruhigt zurücklehnen würde ich mich trotzdem nicht. Sobald technische Analysen im Netz kursieren, und das ist hier bereits der Fall, steigt die Zahl der automatisierten Scans nach verwundbaren Seiten spürbar an.
| Version | Status | Was zu tun ist |
|---|---|---|
| 7.109 und älter | Angreifbar | Sofort aktualisieren |
| 7.110 | Bereinigt am 20. August 2026 | Nichts, Lücke ist geschlossen |
| Plugin nicht installiert | Nicht betroffen | Nichts, aber Update-Routine prüfen |
Warum ein Backup-Plugin ein besonders lohnendes Ziel ist
Es hat eine bittere Ironie, dass ausgerechnet das Werkzeug für die Datensicherung zum Risiko wird. Aber technisch ist es folgerichtig. Ein Backup-Plugin darf alles: Es liest die komplette Datenbank, schreibt Dateien und ersetzt Inhalte im großen Stil. Ein Kontaktformular kann im schlimmsten Fall eine E-Mail verschicken, ein Migrationswerkzeug kann deine ganze Seite ersetzen.
Dazu kommt der Vertrauensvorschuss. Sicherheitswerkzeuge, Backup-Erweiterungen und Wartungshelfer stehen selten auf der Liste der verdächtigen Kandidaten. Wer seine Seite absichern will, deinstalliert eher ein Bildergalerie-Plugin als das Ding, das im Namen Backup trägt.
96 Prozent der befragten Unternehmen waren von Datendiebstahl, Spionage oder Sabotage betroffen oder vermuten dies.
Quelle: Bitkom e. V., Wirtschaftsschutz-Studie 2026, Befragung von 1.003 deutschen Unternehmen ab zehn Beschäftigten und einer Million Euro Jahresumsatz, Erhebungszeitraum April bis Juni 2026
Die Zahl klingt dramatisch, und sie wird gerne als Panikargument verwendet. Mir geht es um etwas anderes. Sie zeigt, dass ein Angriff auf ein Unternehmen im Netz kein Sonderfall mehr ist, sondern Alltag. Der Unterschied zwischen einem Betrieb, dem nichts passiert, und einem, der zwei Wochen ohne Webseite dasteht, liegt fast nie an teurer Technik. Er liegt daran, ob jemand die Updates macht.
Der Schaden ist dabei selten der offensichtliche. Kaum jemand stiehlt Daten von einer Handwerkerseite. Was tatsächlich passiert: Deine Seite verteilt plötzlich Werbung für zwielichtige Angebote, Google markiert sie als gefährlich und blendet eine rote Warnung ein. Dieser Eintrag verschwindet nicht sofort, wenn du die Seite bereinigst. Bis die Suchmaschine wieder Vertrauen fasst, vergehen Tage bis Wochen, und in dieser Zeit landen deine Anfragen beim Wettbewerber. Genau das kostet Geld, nicht der Angriff selbst.
Wie du solche Lücken künftig nicht mehr verpasst
Der eigentliche Punkt an diesem Fall ist nicht das eine Plugin. Es ist die Frage, wie du von der nächsten Lücke erfährst. Die meisten Betriebe erfahren es gar nicht, oder erst dann, wenn die Seite eine weiße Fläche zeigt und das Telefon still bleibt.
Drei Wege haben sich in der Praxis bewährt, und sie schließen sich nicht gegenseitig aus:
- Automatische Updates einschalten: WordPress kann Plugins selbstständig aktualisieren. Für ein Werkzeug wie All-in-One WP Migration, das kein sichtbares Element auf deiner Seite steuert, ist das Risiko eines kaputten Layouts gering. Für Seitenbaukästen und Themes würde ich davon abraten.
- Feste Termine setzen: Einmal im Monat zehn Minuten. Anmelden, Updates einspielen, Startseite und Kontaktformular kurz prüfen. Trag es dir als wiederkehrenden Termin ein, sonst passiert es nicht.
- Wartung abgeben: Wenn du für die technische Pflege keine Zeit hast, gehört sie in fremde Hände. Bei uns beginnt die Wartung ab 49 € im Monat, mit täglichen internen und wöchentlichen externen Sicherungen. Der Kern daran ist nicht die Sicherung selbst, sondern dass jemand hinsieht, wenn eine Meldung wie diese erscheint.
Wichtig ist auch, wo dein Backup liegt. Eine Sicherung, die im selben Verzeichnis auf demselben Server schlummert, hilft dir nicht, wenn dieser Server kompromittiert ist. Mindestens eine Kopie gehört an einen anderen Ort. Und sie muss mindestens einmal getestet worden sein, denn ein nie zurückgespieltes Backup ist eine Hoffnung, keine Sicherung.
Wenn du grundsätzlich wissen willst, an welchen Stellen eine WordPress-Seite typischerweise angreifbar ist, habe ich das in meinem Beitrag zu den wichtigsten Schutzmaßnahmen für WordPress ausführlich aufgeschrieben. Wie ein solcher Fall aussieht, wenn ein Plugin nicht nur eine Lücke hat, sondern der Anbieter selbst kompromittiert wurde, zeigt der BdThemes-Vorfall aus dem August 2026.
Weniger Plugins sind der wirksamste Schutz
Jede Erweiterung, die du installierst, ist zusätzlicher fremder Code auf deinem Server. Ich sehe regelmäßig Unternehmensseiten mit über dreißig aktiven Plugins, von denen die Hälfte seit Jahren keine Aufgabe mehr erfüllt. Jedes davon ist eine mögliche Eintrittstür.
Geh die Liste einmal durch und stelle dir bei jedem Eintrag eine einzige Frage: Was passiert, wenn ich das jetzt lösche? Weißt du es nicht, ist das schon die Antwort. Deaktivieren, eine Woche beobachten, dann löschen. Ein deaktiviertes Plugin, das auf dem Server liegen bleibt, kann übrigens weiterhin angreifbar sein.
Häufige Fragen zu All-in-One WP Migration
Woher weiß ich, ob All-in-One WP Migration auf meiner Seite läuft?
Melde dich im WordPress-Adminbereich an und öffne den Bereich Plugins. Dort stehen alle installierten Erweiterungen mit ihrer Versionsnummer, auch die deaktivierten. Steht All-in-One WP Migration and Backup in einer Version unter 7.110 in der Liste, musst du aktualisieren.
Ist meine Seite betroffen, wenn ich das Plugin nie benutzt habe?
Die Lücke wird erst beim Wiederherstellen eines Archivs ausgelöst, ein bloß installiertes Plugin führt den fehlerhaften Code nicht aus. Sicher ist das trotzdem nicht: Sobald du oder deine Agentur einmal ein Backup einspielt, greift der Fehler. Aktualisiere es deshalb auch dann, wenn du es nie aktiv genutzt hast.
Kann ich All-in-One WP Migration nach dem Update weiter verwenden?
Ja. Der Hersteller ServMask hat die Schwachstelle mit Version 7.110 behoben, das Plugin gilt damit wieder als sicher. Ein Wechsel auf ein anderes Werkzeug ist wegen dieses Vorfalls nicht nötig.
Reicht ein Backup allein als Schutz vor gehackten Seiten?
Nein. Ein Backup hilft dir beim Wiederherstellen, es verhindert den Angriff nicht. Wird eine Infektion erst nach Wochen entdeckt, sind unter Umständen alle vorhandenen Sicherungen bereits verseucht. Aktuelle Software und regelmäßige Kontrolle sind der eigentliche Schutz.
Fazit: All-in-One WP Migration updaten und danach eine Routine schaffen
Die Sicherheitslücke in All-in-One WP Migration ist mit Version 7.110 geschlossen, dein Aufwand beträgt zwei Minuten im Adminbereich. Tu es heute, nicht irgendwann diese Woche. Über drei Millionen Seiten haben es zum Zeitpunkt der Berichterstattung noch nicht getan, und automatisierte Scanner suchen genau nach diesen Seiten.
Was bleibt, ist die unbequemere Frage dahinter. Wenn dich diese Meldung nur zufällig erreicht hat, weil du gerade diesen Artikel gefunden hast, dann ist das kein Sicherheitskonzept. Die technischen Details der Lücke kannst du im offiziellen Plugin-Eintrag auf WordPress.org nachlesen, die eigentliche Arbeit beginnt danach.
Wenn du nicht sicher bist, in welchem Zustand deine Seite gerade ist, sieh sie dir gemeinsam mit mir an. Im kostenlosen Erstgespräch gehen wir durch, welche Erweiterungen bei dir laufen, wo Aktualisierungen fehlen und ob deine Sicherungen im Ernstfall wirklich tragen. Unverbindlich, ohne Verkaufsdruck.
