Das Wichtigste auf einen Blick
- Betroffen: GiveWP (Plugin), bis Version 4.16.8
- Sicher: ab Version 4.16.9
- Bekannt seit: 18.09.2026
- Ninja Risiko-Score: 8 von 10 (hoch). Offizieller CVSS-Wert: 6,5 von 10
- Angreifer braucht: keinen Login
- Was du tun musst: Update auf Version 4.16.9, wenige Minuten
- Quelle: Wordfence, CVE-2026-85113
Kennst du GiveWP? Wenn du über deine Website Spenden einsammelst, läuft es gut möglich bei dir, und seit dem 18. September 2026 ist dort eine Sicherheitslücke bekannt. Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten. Betroffen sind alle Versionen bis Version 4.16.8, sicher bist du ab Version 4.16.9.
Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.
Was ist passiert
GiveWP nimmt Eingaben von Besuchern an und führt darin versteckte Platzhalter aus. Das sind die kurzen Bausteine in eckigen Klammern, mit denen Plugins Inhalte auf deiner Seite einbauen, etwa ein Spendenformular oder eine Liste.
Ein Angreifer kann von außen bestimmen, welcher dieser Bausteine auf deiner Seite ausgeführt wird. Dafür braucht er keinen Login und keinen Klick von dir, es reicht, dass deine Seite online ist. Wie weit er damit kommt, hängt davon ab, welche Plugins bei dir noch installiert sind. Hat eines davon einen Baustein, der Daten ausgibt oder eine Aktion auslöst, kann er darüber an Informationen kommen, die niemand außer dir sehen soll.
Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an. Das Update selbst ist ein Klacks, zwei Minuten, danach ist die Tür zu.
Was du jetzt tun solltest
- Geh in dein WordPress-Dashboard
- Schau unter Plugins nach GiveWP
- Aktualisiere auf Version 4.16.9 oder höher (Anleitung: Plugins aktualisieren)
- Fertig.
Mach das heute, nicht irgendwann nächste Woche. Wenn du dich beim Updaten unsicher fühlst, probiere es zuerst auf einer Staging Site aus oder schreib mir kurz.
Ein Update repariert nicht rückwirkend, was vorher schon passiert sein könnte. Wenn dir danach etwas komisch vorkommt, unbekannte Admin-Konten oder fremde Dateien, dann melde dich bei mir, ich schaue mit dir gemeinsam auf einen möglichen Hack.
Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.
Genau diesen Teil übernehme ich normalerweise für dich. In meiner WordPress Wartung kontrolliere ich nach jedem Sicherheitsrelease, ob das Update bei dir wirklich durchgelaufen ist, mit Backup vorher und einem Klick durch die Seite danach. Bei einem Spenden-Plugin wie GiveWP möchte ich mich darauf nicht verlassen. Ab 49 € im Monat, mit mir persönlich als Ansprechpartner.
Quelle: Wordfence, CVE-2026-85113
