Formidable Forms: Sicherheitslücke, Update auf Version 6.35

Formidable Forms hat eine Sicherheitslücke, seit dem 14. September 2026 ist sie öffentlich bekannt. Wenn du damit deine Kontakt- oder Anmeldeformulare baust, betrifft dich das.

Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten. Betroffen sind alle Versionen bis Version 6.34, sicher bist du ab Version 6.35.

Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.

Was ist passiert

Das fieseste Einfallstor ist: Formidable Forms hat Eingaben von außen ungeprüft als Shortcode ausgeführt. Shortcodes sind kleine Platzhalter in eckigen Klammern, mit denen Plugins Inhalte auf deiner Seite einbauen.

Das bedeutet, jemand konnte deiner Seite von außen einen Befehl unterschieben und ihn ausführen lassen. Ohne Login, ohne dass du irgendwo klicken musstest. Wie ein Briefkasten, in den jemand einen Zettel wirft, und dein Haus tut, was draufsteht.

Wie weit das reicht, hängt davon ab, welche Plugins bei dir Shortcodes bereitstellen. Bei manchen ist es harmlos, bei anderen liegen damit Daten offen oder werden Aktionen ausgelöst.

Klingt fies, ist in fünf Minuten erledigt. Version 6.35 schließt beide Lücken, danach ist die Tür zu.

Was du jetzt tun solltest

1. Geh in dein WordPress-Dashboard
2. Schau unter Plugins nach Formidable Forms
3. Aktualisiere auf Version 6.35 oder höher (Anleitung: Plugins aktualisieren)
4. Klicke danach einmal durch deine Formulare und schick dir selbst eine Testnachricht. Fertig.

Mach das heute, nicht irgendwann nächste Woche. Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an.

Ein Update repariert nicht rückwirkend, was vorher schon passiert sein könnte. Wenn dir danach etwas komisch vorkommt, unbekannte Admin-Konten oder fremde Dateien, melde dich bei mir.

Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.

Die meisten meiner Wartungskunden erfahren von solchen Lücken überhaupt erst aus meinen Meldungen. Bei ihnen ist das Update auf Version 6.35 da längst eingespielt, mit Backup davor und einem Klick durch die Formulare danach. Wenn du dein Plugin-Dashboard nicht jede Woche selbst im Blick haben willst, übernehme ich genau das in meiner WordPress Wartung für dich.

Quelle: Wordfence, CVE-2026-19857