Das Wichtigste auf einen Blick
- Betroffen: EWWW Image Optimizer (Plugin), bis Version 8.7.6
- Sicher: ab Version 8.7.7
- Bekannt seit: 15.09.2026
- Ninja Risiko-Score: 6 von 10 (mittel). Offizieller CVSS-Wert: 6,4 von 10
- Angreifer braucht: einen Login
- Was du tun musst: Update auf Version 8.7.7, wenige Minuten
- Quelle: Wordfence, CVE-2026-91011
Seit dem 15. September 2026 ist eine Sicherheitslücke in EWWW Image Optimizer bekannt, dem Plugin, das auf über einer Million Websites die Bilder kleinrechnet. Ninja Risiko-Score: 6 von 10. Das heißt: diese Woche updaten.
Ninja Risiko-Score: 6 von 10. Das heißt: diese Woche updaten.
Was ist passiert
Betroffen sind alle Versionen bis Version 8.7.6. Version 8.7.7 schließt die Lücke und ist da.
Das Plugin prüft an einer Stelle nicht genau genug, was jemand eintippt, und gibt es später ungefiltert wieder aus. Stell dir vor, jemand klebt einen unsichtbaren Zettel an eine deiner Seiten, und jeder, der diese Seite öffnet, führt aus, was darauf steht. Damit kann ein Angreifer zum Beispiel Besucher umleiten oder sich an einer eingeloggten Sitzung bedienen.
Dafür braucht er allerdings einen Login bei dir, mindestens mit Autor-Rechten. Jemand von außen, der nur deine Adresse kennt, kommt hier nicht durch.
Klingt unangenehm, ist in zwei Minuten erledigt. Danach ist die Tür zu, und du musst nichts davon verstanden haben.
Was du jetzt tun solltest
- Geh in dein WordPress-Dashboard
- Öffne den Bereich Plugins und such nach EWWW Image Optimizer
- Aktualisiere auf Version 8.7.7 oder höher (Anleitung: Plugins aktualisieren)
- Fertig
Setz das diese Woche auf deine Liste, fünf Minuten reichen dafür. Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an.
Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.
Du musst keine Sicherheitsmeldungen zu Bild-Plugins verfolgen und nicht abwägen, ob so ein Update jetzt dringend ist oder nicht. In meiner WordPress Wartung spiele ich es dir ein, schaue danach, ob deine Seite noch sauber läuft, und wenn du eine Frage hast, schreibst du mir persönlich und landest in keiner Warteschleife.
Quelle: Wordfence, CVE-2026-91011
