Die Elementor Sicherheitslücke CVE-2026-32475 betrifft jede Version von Elementor Pro bis einschließlich 4.2.1. Das Update auf Version 4.2.2 schließt sie. Angreifer können ohne Passwort und ohne Benutzerkonto ausführbare PHP-Dateien auf deinen Server laden, sobald auf der Seite ein Elementor-Formular mit einem Datei-Upload-Feld veröffentlicht ist. Ich zeige dir, wie du in wenigen Minuten prüfst, ob dein Betrieb betroffen ist. Und woran du erkennst, ob schon jemand da war.
Letzte Aktualisierung: August 2026
Was hinter der Elementor Sicherheitslücke steckt
Am 19. August 2026 hat Elementor die Version 4.2.2 von Elementor Pro veröffentlicht. Sie schließt eine Schwachstelle, die der Sicherheitsforscher Tin Pham am 16. Juli 2026 an den Sicherheitsdienstleister Patchstack gemeldet hatte. Die Lücke trägt die Kennung CVE-2026-32475 und wird mit einem CVSS-Wert von 9.0 von 10 bewertet.
Die Elementor Sicherheitslücke sitzt im Formular-Widget, genauer im Feldtyp Datei-Upload. Elementor prüft hochgeladene Dateien in einer Schleife und verarbeitet sie in einer zweiten. Beide Schleifen reagieren unterschiedlich, wenn ein Upload-Eintrag leer ist: die Prüfschleife bricht komplett ab, die Verarbeitungsschleife springt nur zum nächsten Eintrag.
Genau diese Abweichung lässt sich ausnutzen. Wer eine Anfrage mit einem leeren ersten Datei-Eintrag und einer PHP-Datei als zweitem Eintrag schickt, umgeht die Prüfung der erlaubten Dateitypen. Die Datei wird trotzdem in ein öffentlich erreichbares Verzeichnis geschrieben. Ab da lässt sie sich über den Browser aufrufen und ausführen.
Was ist Remote Code Execution?
Remote Code Execution (RCE) bedeutet, dass jemand aus der Ferne eigenen Programmcode auf deinem Server ausführen kann. Nicht nur Inhalte ändern, sondern eigene Befehle laufen lassen. Das ist die schwerste Kategorie von Webseiten-Schwachstellen. Damit wird alles möglich: Passwörter auslesen, Weiterleitungen einbauen, Schadcode für Besucher hinterlegen.
Bei CVE-2026-32475 ist keine Anmeldung nötig. Kein Benutzerkonto, keine gestohlenen Zugangsdaten, kein Sicherheits-Token. Es reicht eine präparierte Anfrage an die öffentlich erreichbare Formular-Adresse. Deshalb der hohe Schweregrad.
Bist du von der Elementor Sicherheitslücke betroffen?
Für die Elementor Sicherheitslücke müssen drei Bedingungen zusammenkommen. Fehlt eine davon, bist du nicht angreifbar.
- Du nutzt Elementor Pro: Die kostenlose Version aus dem WordPress-Verzeichnis enthält das Formular-Widget nicht. Betroffen ist ausschließlich die kostenpflichtige Erweiterung.
- Deine Version ist 4.2.1 oder älter: Erst 4.2.2 enthält den Fix.
- Auf einer veröffentlichten Seite steht ein Elementor-Formular mit Datei-Upload-Feld: Ein reines Kontaktformular mit Name, E-Mail und Nachricht reicht nicht aus. Es braucht das Upload-Feld.
Der letzte Punkt ist der, den viele falsch einschätzen. Datei-Upload-Felder tauchen öfter auf, als man denkt. Ein Dachdecker lässt sich Fotos vom Schaden schicken. Eine Autowerkstatt nimmt den Fahrzeugschein entgegen. Ein Steuerberater sammelt Belege über ein Formular. Eine Fahrschule bittet um das Passfoto. All das läuft in vielen Betrieben über ein Elementor-Formular.
Erschwerend kommt hinzu: Laut der Analyse von Patchstack genügt es, wenn das Upload-Feld nicht als Pflichtfeld markiert ist. Das ist die Voreinstellung. Wer beim Anlegen des Felds nichts umgestellt hat, erfüllt diese Bedingung automatisch.
So prüfst du deine Version in zwei Minuten
- Melde dich im WordPress-Backend an.
- Gehe auf Plugins und suche den Eintrag Elementor Pro.
- Unter dem Namen steht die installierte Versionsnummer.
- Steht dort 4.2.1 oder eine kleinere Zahl, handelst du heute.
| Version Elementor Pro | Status | Was zu tun ist |
|---|---|---|
| 4.2.2 und neuer | Abgesichert | Nichts, Update ist eingespielt |
| 4.2.1 und älter | Angreifbar | Sofort auf 4.2.2 aktualisieren |
| Elementor (kostenlos), ohne Pro | Nicht betroffen | Trotzdem aktuell halten |
Findest du keinen Eintrag namens Elementor Pro, sondern nur Elementor, dann läuft die kostenlose Variante. Dann betrifft dich diese Lücke nicht. Prüfe trotzdem, ob deine Formulare über ein anderes Plugin laufen. Plugin-Schwachstellen dieser Größenordnung tauchen regelmäßig auf, zuletzt bei der Lücke wp2shell.
Update gegen die Elementor Sicherheitslücke einspielen, ohne die Seite zu zerlegen
Ein Plugin-Update kann eine Seite kippen. Das passiert selten, aber es passiert. Deshalb schließe ich die Elementor Sicherheitslücke auf Kundenseiten immer in dieser Reihenfolge.
- Backup anlegen. Dateien und Datenbank, nicht nur eines von beidem. Viele Hoster bieten das im Kundenmenü an. Ein Backup, das du im Ernstfall nicht zurückspielen kannst, zählt nicht.
- Notieren, welche Version aktuell läuft. Falls du zurückmusst, weißt du, wohin.
- Update über Plugins ausführen. Elementor Pro aktualisiert sich nicht über das WordPress-Verzeichnis, sondern über deine Lizenz. Ist die Lizenz abgelaufen, erscheint kein Update-Hinweis. Das ist der häufigste Grund, warum Betriebe auf einer alten Version festhängen.
- Startseite, Kontaktseite und jedes Formular im Browser aufrufen. Einmal testweise absenden. Kommt die Mail an?
- Cache leeren. Sowohl im Caching-Plugin als auch beim Hoster, falls dort ein eigener Cache läuft.
Wenn deine Lizenz abgelaufen ist und du sie nicht sofort verlängern kannst, gibt es eine Zwischenlösung: Nimm das Datei-Upload-Feld aus dem Formular heraus. Veröffentliche die Seite danach neu. Ohne dieses Feld greift der Angriffsweg der Elementor Sicherheitslücke nicht mehr. Das ist kein Ersatz für das Update, aber es nimmt den Druck aus der Sache, bis die Lizenz wieder läuft.
Elementor Sicherheitslücke ausgenutzt: woran du erkennst, ob jemand da war
Zum Stand der Veröffentlichung der Analyse hat Patchstack keine Fälle beobachtet, in denen die Lücke tatsächlich ausgenutzt wurde. Das ist eine gute Nachricht, aber keine Entwarnung. Sobald technische Details öffentlich sind, steigt die Zahl der automatisierten Scans nach verwundbaren Seiten deutlich an.
Schau dir diese vier Stellen an, wenn du unsicher bist:
- Der Upload-Ordner: Unter wp-content/uploads haben PHP-Dateien nichts zu suchen. Findest du dort eine Datei, die auf .php endet, ist das ein ernstes Warnsignal.
- Die Benutzerliste: Steht unter Benutzer ein Administrator, den du nicht angelegt hast?
- Die Google-Suche nach deiner Domain: Tippe site:deine-domain.de in die Suche. Tauchen dort Seiten auf, die du nie erstellt hast, liegt oft SEO-Spam vor.
- Der Posteingang: Häufen sich Zustellfehler für Mails, die du nie verschickt hast, wird dein Server womöglich für Spam missbraucht.
Findest du eines dieser Anzeichen, reicht das Update gegen die Elementor Sicherheitslücke nicht mehr. Eine bereits abgelegte Hintertür bleibt nach dem Update bestehen. Dann muss die Seite bereinigt werden, im Zweifel aus einem sauberen Backup von vor dem Vorfall. Wie so eine Bereinigung abläuft, habe ich am Fall der manipulierten BdThemes-Plugins ausführlicher beschrieben.
Warum Plugin-Updates in kleinen Betrieben liegen bleiben
Der eigentliche Grund ist selten Bequemlichkeit. Es ist Zuständigkeit. Die Webseite wurde vor drei Jahren gebaut, sie läuft, und niemand im Betrieb hat die Aufgabe, einmal pro Woche ins Backend zu schauen. Die Agentur ist raus aus dem Projekt, der Chef hat Baustellen, die Bürokraft hat kein Backend-Passwort.
Dabei ist die Zahl der Schwachstellen im WordPress-Umfeld beachtlich, und sie verteilt sich sehr ungleich.
Im Jahr 2025 wurden 11.334 neue Schwachstellen im WordPress-Ökosystem erfasst. 91 Prozent davon steckten in Plugins, 9 Prozent in Themes, im WordPress-Kern selbst nur sechs.
Quelle: Patchstack, State of WordPress Security in 2026, Erhebungsjahr 2025, Auswertung aller im Jahresverlauf koordinierten und veröffentlichten Schwachstellen des WordPress-Ökosystems
Das ist die entscheidende Erkenntnis für jeden Betrieb: WordPress selbst ist kaum das Problem. Die Erweiterungen sind es. Und je mehr Plugins auf einer Seite laufen, desto größer wird die Angriffsfläche. Ich sehe regelmäßig Betriebsseiten mit dreißig aktiven Plugins, von denen die Hälfte seit dem Bau der Seite nichts mehr tut.
Der zweite Punkt aus demselben Bericht ist unangenehmer. Nicht für jede gemeldete Lücke steht am Tag der Veröffentlichung ein Update bereit.
46 Prozent der Schwachstellen hatten zum Zeitpunkt ihrer Veröffentlichung noch keinen Patch erhalten.
Quelle: Patchstack, State of WordPress Security in 2026, Erhebungsjahr 2025, Auswertung aller im Jahresverlauf koordinierten und veröffentlichten Schwachstellen des WordPress-Ökosystems
Bei Elementor lief es besser als in diesem Durchschnitt. Der Hersteller hatte einen Tag nach der Meldung einen Fix vorbereitet, der im August verifiziert und veröffentlicht wurde. Das ist die Art von Reaktion, die man sich von einem Plugin wünscht, für das man Geld bezahlt. Es zeigt aber auch, warum kostenpflichtige Erweiterungen mit gepflegtem Support ihren Preis wert sind.
Was ein veralteter Plugin-Bestand praktisch bedeutet
Sicherheitsdienstleister sehen in ihren Bereinigungsfällen regelmäßig denselben Zusammenhang zwischen veralteter Software und Infektion.
Bei 39,1 Prozent der bereinigten Webseiten war das Content-Management-System zum Zeitpunkt der Infektion nicht auf dem aktuellen Sicherheitsstand. 13,97 Prozent wiesen zum Zeitpunkt der Bereinigung mindestens ein verwundbares Plugin oder Theme auf.
Quelle: Sucuri, 2023 Hacked Website & Malware Threat Report, Erhebungsjahr 2023, Auswertung der im Berichtsjahr von Sucuri bereinigten infizierten Webseiten
Die Zahl war in früheren Berichten desselben Anbieters höher, 2022 lag sie bei 50,58 Prozent. Der Trend geht also in die richtige Richtung. Trotzdem bleibt ein veralteter Stand einer der häufigsten Ausgangspunkte.
Wer das nicht selbst übernehmen will, kann es abgeben. Genau dafür haben wir unsere Wartungspakete gebaut: Updates, Backups und Monitoring laufen im Hintergrund, ab 49 € netto pro Monat. Ein einzelner Bereinigungsfall kostet in aller Regel ein Vielfaches davon, ganz abgesehen von den Tagen, an denen die Seite offline ist.
Was ich Betrieben nach diesem Vorfall rate
Die Elementor Sicherheitslücke ist mit einem einzelnen Update erledigt und wieder vergessen. Interessanter ist die Frage, wie du dafür sorgst, dass dich der nächste Fall nicht wieder kalt erwischt. Drei Dinge, die in der Praxis wirklich etwas ändern:
- Feste Zuständigkeit: Eine Person im Betrieb oder ein Dienstleister von außen. Nicht "wir schauen mal". Ein Name und ein Termin im Kalender.
- Ausmisten statt sammeln: Jedes Plugin, das keine Funktion mehr erfüllt, kommt weg. Deaktiviert reicht nicht immer, es sollte gelöscht werden.
- Lizenzen im Blick behalten: Abgelaufene Lizenzen bei kostenpflichtigen Plugins sind der stille Killer. Die Seite läuft weiter, Sicherheitsupdates kommen aber nicht mehr an. Genau das ist bei Elementor Pro der Fall.
Der dritte Punkt trifft in meiner Erfahrung die meisten Betriebe. Elementor Pro wird einmal beim Bau der Seite gekauft, die Lizenz läuft nach einem Jahr aus, und niemand merkt es, weil die Seite ja weiterhin normal aussieht. Erst wenn eine Meldung wie die zur Elementor Sicherheitslücke kommt, fällt es auf. Eine weitere Ebene an Schutzmaßnahmen findest du in meiner Übersicht dazu, wie du WordPress grundsätzlich absicherst.
Häufige Fragen zur Elementor Sicherheitslücke
Bin ich betroffen, wenn ich nur das kostenlose Elementor nutze?
Nein. Die Schwachstelle CVE-2026-32475 sitzt im Formular-Widget, das ausschließlich zu Elementor Pro gehört. Die kostenlose Version aus dem WordPress-Plugin-Verzeichnis enthält dieses Widget nicht.
Reicht es, das Formular vorübergehend offline zu nehmen?
Das Entfernen des Datei-Upload-Felds oder das Zurücksetzen der Seite auf Entwurf nimmt den Angriffsweg tatsächlich weg. Es ist aber nur eine Übergangslösung für den Fall, dass du gerade nicht aktualisieren kannst. Das Update auf 4.2.2 ersetzt es nicht.
Wurde die Elementor Sicherheitslücke bereits aktiv ausgenutzt?
Zum Zeitpunkt der Veröffentlichung der Analyse waren keine Angriffe in freier Wildbahn bekannt. Nach der Offenlegung technischer Details steigt die Wahrscheinlichkeit automatisierter Scans jedoch spürbar an, deshalb sollte das Update nicht auf die lange Bank geschoben werden.
Was kostet es, wenn meine Webseite tatsächlich kompromittiert wurde?
Das hängt vom Ausmaß ab. Ein sauberes Backup von vor dem Vorfall macht die Sache günstig. Fehlt es, folgt eine manuelle Bereinigung samt Prüfung aller Benutzerkonten, Dateien und Datenbankeinträge, und dieser Aufwand liegt schnell über den Kosten eines Jahres Wartung.
Wie erfahre ich künftig früher von solchen Lücken?
Entweder du abonnierst die Sicherheitsmeldungen deines Plugin-Herstellers und eines Dienstes wie Patchstack, oder du gibst das Thema an einen Dienstleister ab, der die Meldungen ohnehin verfolgt. Für die meisten Betriebe ist der zweite Weg der realistischere.
Fazit zur Elementor Sicherheitslücke: heute updaten, morgen aufräumen
Die Elementor Sicherheitslücke CVE-2026-32475 ist unangenehm, weil sie ohne Anmeldung funktioniert und weil sie ein Feld trifft, das viele Betriebe im Kontaktformular nutzen. Die Lösung ist erfreulich einfach: Version 4.2.2 einspielen, Backup vorher, Formulare danach einmal durchtesten. Die technischen Details hat Patchstack in seiner Analyse offengelegt.
Der wichtigere Schritt kommt danach. Prüfe, ob deine Elementor-Lizenz noch läuft, wirf ungenutzte Plugins von der Seite und lege fest, wer sich um Updates kümmert. Diese drei Punkte kosten dich einen Nachmittag und ersparen dir beim nächsten Fall die Hektik.
Du bist unsicher, ob deine Seite betroffen ist oder ob dort noch etwas anderes im Argen liegt? Buch dir ein kostenloses Erstgespräch. Wir schauen gemeinsam auf deine Seite, prüfen den Plugin-Bestand und du weißt danach, wo du stehst. Unverbindlich und ohne Verkaufsdruck.
