Das Wichtigste auf einen Blick
- Betroffen: GiveWP (Plugin), bis Version 4.16.8.0
- Sicher: ab Version 4.16.8.1
- Bekannt seit: 14.09.2026
- Ninja Risiko-Score: 8 von 10 (hoch). Offizieller CVSS-Wert: 7,3 von 10
- Angreifer braucht: keinen Login
- Was du tun musst: Update auf Version 4.16.8.1, wenige Minuten
- Quelle: Wordfence, CVE-2026-85530
Kennst du GiveWP? Wenn du über deine Website Spenden einsammelst, läuft es gut möglich bei dir, und seit dem 14. September 2026 ist eine Sicherheitslücke darin bekannt.
Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.
Was ist passiert
Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.
Betroffen sind alle Versionen bis einschließlich Version 4.16.8.0. Die gute Nachricht: Version 4.16.8.1 schließt die Lücke und ist da.
Das Plugin hat nicht sauber geprüft, welche Rechte sich jemand selbst zuschreiben darf. Stell dir einen Empfang vor, an dem jeder Besucher sich selbst einen Mitarbeiterausweis ausdrucken kann. Genau das konnte hier jemand tun, und zwar ohne Login. Es reicht, dass deine Seite online ist. Wer sich auf diesem Weg höhere Rechte holt, kann in deinem WordPress Dinge anstellen, die eigentlich nur dir zustehen.
Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an.
Klingt fies, ist in zwei Minuten erledigt. Zwei Klicks in deinem Dashboard, danach ist die Tür zu.
Was du jetzt tun solltest
- Geh in dein WordPress-Dashboard
- Schau unter Plugins nach GiveWP
- Aktualisiere auf Version 4.16.8.1 oder höher (Anleitung: Plugins aktualisieren)
- Fertig
Mach das heute, nicht irgendwann nächste Woche. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site oder schreib mir kurz, dann schaue ich mit dir drauf.
Ein Update repariert nicht rückwirkend, was vorher schon passiert sein könnte. Wenn dir danach etwas komisch vorkommt, unbekannte Admin-Konten oder fremde Dateien, melde dich bei mir.
Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.
Updates wie dieses spiele ich für meine Wartungskunden ein, und in all den Jahren ist noch keine einzige von mir betreute Website gehackt worden. Bei GiveWP hängen Spenden und die Daten deiner Unterstützer dran, da möchte niemand raten, ob das Update wirklich durchgelaufen ist. Wenn deine Seite erreichbar und sicher bleiben soll und du dich lieber um alles andere als um die Technik kümmerst, schau dir meine WordPress Wartung an.
Quelle: Wordfence, CVE-2026-85530
