Die Forminator Sicherheitslücke CVE-2026-15748 erlaubt es Angreifern ohne Login, beliebige Dateien auf eine WordPress-Seite hochzuladen, im schlimmsten Fall bis zur vollständigen Übernahme. Betroffen sind alle Versionen des Plugins Forminator Forms bis 1.56.1, behoben ist das Problem in Version 1.56.2 vom 31. Juli 2026. Wenn auf deiner Webseite ein Kontakt- oder Anfrageformular von Forminator läuft, lohnt sich heute ein Blick in die Plugin-Liste. Ich zeige dir, wie du in fünf Minuten prüfst, ob du betroffen bist. Danach klären wir, wann die Forminator Sicherheitslücke wirklich brandgefährlich wird und was zu tun ist, falls schon jemand da war.
Letzte Aktualisierung: August 2026
Was hinter der Forminator Sicherheitslücke steckt
Forminator Forms ist ein Formular-Baukasten für WordPress vom Anbieter WPMU DEV. Damit bauen Betriebe Kontaktformulare, Angebotsanfragen, Umfragen, Quizze und Bezahlformulare zusammen, ohne eine Zeile Code zu schreiben. Das Plugin ist auf über 600.000 Webseiten aktiv, was es zu einem der größeren Formular-Werkzeuge im WordPress-Umfeld macht.
Der Fehler steckt in der Funktion handle_file_upload. Sie prüft beim Datei-Upload, ob der Dateityp erlaubt ist, und arbeitet dafür mit einer Sperrliste für gefährliche Endungen. Diese Sperrliste vergleicht die Schlüssel exakt und lässt sich mit MIME-Typ-Schlüsseln umgehen, die eine Pipe-Alternative enthalten. Das klingt technisch, hat aber eine einfache Folge: Eine PHP-Datei rutscht als angeblich harmloses Dokument durch die Prüfung.
Die Schwachstelle trägt die Kennung CVE-2026-15748 und einen CVSS-Wert von 9,8 von 10. Höher wird es kaum. Der Grund für die Einstufung sind zwei Eigenschaften. Ein Angreifer braucht keinen Zugang zum Backend. Und im schlimmsten Fall führt der Weg von der hochgeladenen Datei bis zur Ausführung eigenen Codes auf dem Server.
Was ist eine Arbitrary-File-Upload-Lücke?
Eine Arbitrary-File-Upload-Lücke ist eine Schwachstelle, bei der ein Angreifer eine Datei seiner Wahl auf den Server einer Webseite legen kann. Erlaubt sein sollten dabei nur bestimmte Dateitypen. Gefährlich wird das, wenn die Datei anschließend vom Server ausgeführt werden kann. Aus einem Formular, das Fotos annehmen soll, wird dann ein Einstiegspunkt für fremden Programmcode, eine sogenannte Webshell.
Die Zeitleiste des Falls
Der Ablauf ist gut dokumentiert, weil die Lücke über ein Bug-Bounty-Programm gemeldet wurde und nicht durch einen Angriff aufgefallen ist:
- 11. Juli 2026: Ein Sicherheitsforscher mit dem Kürzel daroo meldet die Schwachstelle über das Bug-Bounty-Programm von Wordfence und erhält dafür eine Belohnung von 2.048 US-Dollar.
- 14. Juli 2026: Wordfence bestätigt die Meldung mit einem funktionierenden Nachweis und informiert am selben Tag das Entwicklerteam.
- 31. Juli 2026: WPMU DEV veröffentlicht Forminator Forms 1.56.2 mit dem Fix.
- 18. August 2026: Die Details werden öffentlich breit berichtet, damit Seitenbetreiber reagieren können.
Genau dieser letzte Schritt ist der kritische Moment. Solange nur der Hersteller und die Melder Bescheid wissen, ist das Risiko gering. Ab dem Tag der Veröffentlichung wissen auch die Leute Bescheid, die automatisiert nach angreifbaren Seiten suchen. Und die suchen breit, nicht gezielt.
Nach Auswertung der Versionsdaten von WordPress.org laufen rund die Hälfte der Installationen weiterhin in einer angreifbaren Version. Das sind über 300.000 Webseiten, Stand 18. August 2026. Aktive Angriffe waren zu diesem Zeitpunkt nicht gemeldet. Das ist eine gute Nachricht mit kurzer Haltbarkeit, denn bei einer Lücke dieser Bauart folgen die Massenscans üblicherweise innerhalb von Tagen.
Bin ich von der Forminator Sicherheitslücke betroffen?
Die Prüfung dauert keine fünf Minuten und braucht kein technisches Wissen. So gehst du vor:
- Melde dich im WordPress-Backend an, meist unter
deine-domain.de/wp-admin. - Öffne links im Menü den Punkt Plugins und suche in der Liste nach dem Eintrag Forminator Forms.
- Unter dem Namen steht die installierte Versionsnummer. Steht dort 1.56.1 oder eine kleinere Zahl, bist du betroffen.
- Findest du keinen Eintrag, nutzt deine Seite dieses Plugin nicht. Prüfe trotzdem, welches Formular-Plugin bei dir läuft, denn die gleiche Update-Regel gilt für jedes davon.
- Hast du keinen Backend-Zugang, frage die Person oder Agentur, die deine Seite betreut. Ein Satz genügt: Läuft bei uns Forminator, und ist es auf 1.56.2 oder neuer?
Unsicher, welche Erweiterungen bei dir überhaupt aktiv sind? In meinem Beitrag zu den wichtigsten Schutzmaßnahmen für WordPress gehe ich Schritt für Schritt durch, wie du deinen Plugin-Bestand sortierst.
Zwei Bedingungen entscheiden über die Schwere
Nicht jede angreifbare Installation ist gleich stark bedroht. Zwei Punkte machen den Unterschied:
Erste Bedingung: Das Formular muss ein Datei-Upload-Feld und zusätzlich ein Auswahlfeld enthalten. Über das Auswahlfeld schmuggelt der Angreifer einen gefälschten Upload-Datensatz an der Prüfung vorbei. Ohne diese Kombination greift der Angriffsweg nicht.
Zweite Bedingung: Entscheidend ist, wohin die Uploads gespeichert werden. Im Standardpfad liegt eine .htaccess-Datei, die verhindert, dass PHP-Dateien im Upload-Ordner ausgeführt werden. Wer einen eigenen Speicherort für Uploads eingestellt hat, hat diesen Schutz möglicherweise nicht. Das Verzeichnis wurde dann bei einer Anfrage von außen angelegt, und die schützende Datei fehlte dabei. In diesem Fall ist der direkte Aufruf der hochgeladenen PHP-Datei möglich.
| Situation auf deiner Seite | Risiko | Was zu tun ist |
|---|---|---|
| Forminator 1.56.2 oder neuer | Kein Risiko durch diese Lücke | Automatische Updates aktivieren |
| Alte Version, kein Formular mit Datei-Upload | Gering | Update zeitnah einspielen |
| Alte Version, Formular mit Upload und Auswahlfeld | Hoch | Update heute, danach Dateien prüfen |
| Alte Version, dazu eigener Upload-Speicherort | Sehr hoch | Update sofort, anschließend vollständige Prüfung |
Warum genau dieses Formularfeld im Handwerk Standard ist
Die Bedingung mit dem Datei-Upload klingt nach einem Sonderfall. In der Praxis ist sie das Gegenteil davon. Wer Anfragen über die eigene Webseite bekommt, will Fotos sehen, bevor er ein Angebot rechnet. Ein paar Beispiele aus Formularen, die ich in den letzten Jahren gebaut oder übernommen habe:
- Dachdecker: Foto des Schadens plus Auswahlfeld für die Art der Arbeit, etwa Reparatur, Neueindeckung oder Dachfenster.
- Elektriker: Bild des Zählerschranks plus Auswahl der Leistung, vom Wallbox-Anschluss bis zur Störungssuche.
- Kfz-Werkstatt: Foto vom Blechschaden plus Auswahl der Fahrzeugmarke.
- Fotograf oder Planer: Upload eines Grundrisses oder Moodboards plus Auswahl des Projekttyps.
Damit liegt bei sehr vielen Betriebsseiten genau die Feldkombination im Formular, die der Angriff braucht. Dazu kommt der zweite Grund, warum Formulare für Angreifer attraktiv sind: Sie sind öffentlich erreichbar und nehmen bewusst Daten von Unbekannten an. Kein Login, keine Hürde, dauerhaft online.
Deshalb halte ich es für falsch, die Meldung mit dem Argument abzuhaken, der eigene Betrieb sei zu klein und zu unbekannt für Angriffe. Massenscans fragen nicht nach dem Umsatz. Sie fragen die Plugin-Version ab und ziehen weiter, wenn die Antwort nicht passt.
Update einspielen und Spuren prüfen
Das Update gegen die Forminator Sicherheitslücke selbst ist unspektakulär. Der Teil danach ist der wichtigere, falls deine Seite länger in einer angreifbaren Version gelaufen ist.
- Backup anlegen. Erst sichern, dann anfassen. Wenn beim Update etwas schiefgeht, willst du zurückkönnen.
- Update starten. Im Backend unter Plugins auf Aktualisieren klicken, bis dort mindestens 1.56.2 steht.
- Version kontrollieren. Nach dem Vorgang die Nummer noch einmal ablesen. Bei Plugins mit Lizenzschlüssel bricht ein Update gelegentlich still ab.
- Automatische Updates einschalten. In der Plugin-Liste gibt es je Eintrag den Link dafür. Bei einem Formular-Plugin ist das aus meiner Sicht die richtige Einstellung.
- Upload-Ordner ansehen. Im Verzeichnis
wp-content/uploadsgehören Bilder und Dokumente hin, keine Dateien mit der Endung.php. Wer sich das per FTP nicht zutraut, lässt einen Malware-Scan laufen. - Benutzerliste prüfen. Unter Benutzer darf kein Administratorkonto stehen, das du nicht selbst angelegt hast.
- Passwörter wechseln. Bei Verdacht auf einen Zugriff alle Backend-Passwörter und den Datenbankzugang neu setzen.
Findest du fremde Dateien oder unbekannte Konten, hilft ein reines Plugin-Update nicht mehr. Dann ist die Reihenfolge: sauberen Stand aus einem Backup wiederherstellen, das vor dem Vorfall liegt, anschließend sofort das Update einspielen. Wer eine Firewall wie Wordfence im Einsatz hat, war laut Hersteller bereits vor der Veröffentlichung durch den allgemeinen Schutz gegen schädliche Datei-Uploads abgedeckt.
Es gibt einen zweiten Fall dieser Art aus dem August. Dort wurde das Plugin bereits beim Hersteller manipuliert ausgeliefert. Beschrieben habe ich ihn im Beitrag zum BdThemes-Fall im August 2026. Die Prüfliste dort passt auch für die Forminator Sicherheitslücke.
Was der Fall über Plugins und Wartung verrät
Die Forminator Sicherheitslücke ist kein Ausrutscher eines einzelnen Herstellers, sondern ein typischer Vertreter ihrer Gattung. Der Kern von WordPress ist selten das Problem.
91 Prozent der neu erfassten Schwachstellen im WordPress-Ökosystem betrafen Plugins, 9 Prozent Themes. Im Kern selbst wurden 6 Schwachstellen gezählt.
Quelle: Patchstack, State of WordPress Security in 2026, Auswertung von 11.334 im Jahr 2025 erfassten Schwachstellen
Die zweite unbequeme Zahl betrifft den Umgang mit solchen Meldungen. Der häufigste Grund für eine übernommene Seite ist veraltete Software, für die längst ein Update bereitstand.
Bei 39,1 Prozent der infizierten Webseiten war das Content-Management-System zum Zeitpunkt der Infektion nicht auf dem aktuellen Stand.
Quelle: Sucuri, 2023 Hacked Website & Malware Threat Report, Auswertung von über 34.000 infizierten Webseiten durch die Sucuri Remediation Group
Meine Schlussfolgerung daraus ist unspektakulär, aber sie hält: Jedes Plugin, das du nicht brauchst, gehört gelöscht. Jedes Plugin, das du brauchst, gehört aktuell gehalten. Bei Erweiterungen, die Daten von Fremden annehmen, also Formulare, Kommentare und Datei-Uploads, ist die Toleranz für alte Versionen bei null.
Der ehrliche Punkt dabei: Das schafft im Alltag kaum jemand nebenbei. Zwischen Baustelle, Angeboten und Buchhaltung liest niemand freiwillig Sicherheitsmeldungen zu WordPress-Plugins. Deshalb gibt es unsere Wartungspakete ab 49 € netto im Monat, in denen Updates, Backups und Malware-Scans laufen, ohne dass du daran denken musst. Wer das selbst übernehmen will, findet in der Sicherheitsberichterstattung von Wordfence die verlässlichste Quelle für neue Plugin-Lücken.
Eine Parallele zum Juli ist übrigens auffällig: Bei der Kernlücke wp2shell lag zwischen Patch und Massenangriffen nur wenig Zeit. Wer damals schnell war, hatte Ruhe. Wer wartete, hatte Arbeit.
So bekommst du die nächste Lücke früher mit
Ein Detail macht diesen Fall lehrreich: Der Fix war schon seit dem 31. Juli verfügbar, die breite Berichterstattung kam erst am 18. August. Wer automatische Updates aktiviert hatte, war also seit knapp drei Wochen geschützt, ohne die Meldung überhaupt gelesen zu haben. Genau darin liegt der Wert einer Routine gegenüber dem aufmerksamen Mitlesen.
Auffällig ist außerdem, dass Wordfence in seiner Schwachstellendatenbank auch frühere Datei-Upload-Lücken zu Forminator führt, unter anderem für Versionen bis 1.24.6 und bis 1.28.1. Ein Plugin mit Datei-Upload ist ein Dauerthema, kein einmaliger Vorfall. Wer dieses Feld auf der Webseite hat, sollte das mit einplanen.
Drei Dinge reichen für eine belastbare Routine:
- Automatische Updates für alles, was Eingaben annimmt. Formulare, Kommentarfunktionen, Buchungssysteme, Shop-Erweiterungen. Bei diesen Erweiterungen wiegt das kleine Risiko eines fehlerhaften Updates weniger schwer als eine offene Lücke.
- Ein fester Termin im Monat. Zehn Minuten, in denen du Plugin-Liste, Benutzerkonten und die Funktion des Kontaktformulars durchgehst. Ein Kalendereintrag genügt.
- Ein Backup, das du schon einmal zurückgespielt hast. Ein Backup, das nie getestet wurde, ist eine Vermutung. Beim Ernstfall willst du keine Vermutung.
Und wenn dir das alles zu weit weg von deinem eigentlichen Geschäft ist, dann ist das ein legitimer Standpunkt. Ein Dachdecker muss keine Schwachstellen-Datenbank lesen können. Er braucht nur jemanden, der es tut.
Häufige Fragen zur Forminator Sicherheitslücke
Welche Version schließt die Forminator Sicherheitslücke?
Die Forminator Sicherheitslücke ist in Forminator Forms 1.56.2 und allen neueren Versionen geschlossen. Version 1.56.2 wurde am 31. Juli 2026 veröffentlicht und enthält den Fix für CVE-2026-15748.
Muss ich reagieren, wenn mein Formular keinen Datei-Upload hat?
Der beschriebene Angriffsweg braucht ein Formular mit Datei-Upload-Feld und Auswahlfeld, dein Risiko ist ohne diese Kombination also klein. Das Update solltest du trotzdem einspielen, weil du sonst mit einer Version arbeitest, deren Schwachstelle öffentlich dokumentiert ist.
Woran erkenne ich, ob meine Seite über die Forminator Sicherheitslücke angegriffen wurde?
Typische Anzeichen sind PHP-Dateien im Ordner wp-content/uploads, unbekannte Administratorkonten und plötzlich auftauchende Weiterleitungen auf fremde Seiten. Ein Malware-Scan über ein Sicherheits-Plugin findet die meisten dieser Spuren.
Ist ein anderes Formular-Plugin die bessere Lösung?
Ein Wechsel löst das Grundproblem nicht, denn Schwachstellen wurden in praktisch jedem größeren Formular-Plugin schon gefunden. Wichtiger als der Name ist, ob Updates schnell erscheinen und bei dir schnell eingespielt werden.
Wie schnell werden solche Lücken nach der Veröffentlichung ausgenutzt?
Bei Schwachstellen, die ohne Login funktionieren und sich automatisiert abfragen lassen, beginnen die ersten Scanwellen meist innerhalb weniger Tage nach der Veröffentlichung. Ein Update am gleichen Tag ist deshalb keine Übertreibung.
Fazit: Die Forminator Sicherheitslücke ist in zehn Minuten erledigt
Die Forminator Sicherheitslücke betrifft über 300.000 WordPress-Seiten, ist mit CVSS 9,8 kritisch bewertet und seit dem 31. Juli 2026 durch ein Update behoben. Der Aufwand für dich ist überschaubar: Version nachsehen, aktualisieren, Upload-Ordner und Benutzerliste kontrollieren, automatische Updates einschalten. Danach hast du diesen Fall abgeschlossen, und du weißt, wo du beim nächsten nachsiehst.
Vielleicht weißt du gar nicht, welche Plugins auf deiner Seite laufen und wer sich darum kümmert. Dann ist das der Punkt, an dem wir sprechen sollten. Buch dir ein kostenloses Erstgespräch, wir sehen uns deine Seite gemeinsam an und du erfährst, was zu tun ist. Unverbindlich, ohne Verkaufsdruck.
