Das Wichtigste auf einen Blick
- Betroffen: Divi (Theme), ab Version 5.0 bis Version 5.11.1
- Sicher: ab Version 5.12.0
- Bekannt seit: 17.09.2026
- Ninja Risiko-Score: 6 von 10 (mittel). Offizieller CVSS-Wert: 5,3 von 10
- Angreifer braucht: keinen Login
- Was du tun musst: Update auf Version 5.12.0, wenige Minuten
- Quelle: Wordfence, CVE-2026-91707
Im Divi Theme ist seit dem 17. September 2026 eine Sicherheitslücke bekannt, betroffen sind alle Versionen bis Version 5.11.1. Ninja Risiko-Score: 6 von 10. Das heißt: diese Woche updaten.
Ninja Risiko-Score: 6 von 10. Das heißt: diese Woche updaten.
Was ist passiert
Divi hat eine Schnittstelle, über die Kurzbefehle ausgeführt werden, also kleine Bausteine, die Inhalte auf deiner Seite erzeugen. Diese Schnittstelle hat nicht geprüft, wer da eigentlich anfragt. Stell es dir wie einen Bestellzettel vor, den jemand von der Straße in die Küche schiebt, und die Küche kocht einfach los.
Wer in den Divi-Einstellungen zusätzlich das alte Shortcode-Framework erzwungen hat, gibt damit auch das Kontaktformular frei. Ein Angreifer kann dann Mails mit eigenem Text an eine Adresse seiner Wahl verschicken, mit deiner Website als Absender. Einen Login braucht er dafür nicht, es reicht, dass deine Seite online ist.
Klingt unangenehm, ist mit einem Theme-Update in rund fünf Minuten erledigt. Deine Inhalte und deine Zugänge stehen hier nicht auf dem Spiel, es geht darum, dass Fremde deine Seite für ihre Zwecke arbeiten lassen können.
Was du jetzt tun solltest
- Geh in dein WordPress-Dashboard
- Schau unter Design bei den Themes nach Divi
- Aktualisiere Divi auf Version 5.12.0 oder höher (Anleitung: Theme aktualisieren)
- Fertig
Setze das diese Woche auf deine Liste, dann ist die Tür zu. Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an.
Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.
Meine eigene Website ist mal monatelang gehackt gewesen, über ein vergessenes Nischen-Plugin, das niemand mehr gepflegt hat. Gemerkt habe ich es erst, als Kunden mir geschrieben haben. Seitdem schaue ich bei meinen Kunden nicht nur, ob Themes wie Divi aktuell sind, sondern auch, ob sie überhaupt noch gepflegt werden. Falls du bei deinem Theme und deiner Plugin-Liste unsicher bist, schau dir meine WordPress Wartung an.
Quelle: Wordfence, CVE-2026-91707
