Das Wichtigste auf einen Blick
- Betroffen: Import and export users and customers (Plugin), bis Version 2.4.17
- Sicher: ab Version 2.4.18
- Bekannt seit: 23.09.2026
- Ninja Risiko-Score: 8 von 10 (hoch). Offizieller CVSS-Wert: 8,8 von 10, der Ninja-Score liegt niedriger, weil der Angreifer Hürden nehmen muss
- Angreifer braucht: einen Login
- Was du tun musst: Update auf Version 2.4.18, wenige Minuten
- Quelle: Wordfence, CVE-2026-86583
Seit dem 23. September 2026 ist eine Sicherheitslücke im Plugin Import and export users and customers bekannt. Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.
Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.
Was ist passiert
Betroffen sind alle Versionen bis Version 2.4.17, sicher bist du ab Version 2.4.18. Das Plugin schreibt deine Nutzerliste in eine Tabelle und liest sie später wieder ein, und dabei benutzt es beim Schreiben und beim Lesen zwei verschiedene Regeln dafür, wo eine Spalte endet.
Jemand mit einem ganz normalen Nutzerkonto, ein Abonnent reicht schon, kann in seinem Profil beim Anzeigenamen und beim Spitznamen präparierte Zeichen hinterlegen. Beim Wiedereinlesen rutscht sein Anzeigename dann in die Spalte für die Rolle, und aus dem Abonnenten wird ein Administrator mit allen Rechten auf deiner Website. Dafür braucht er einen Login, und du musst selbst einen Export mit anschließendem Import starten und dabei bestehende Nutzer samt Rollen aktualisieren lassen.
Klingt fies, ist aber in zwei Minuten erledigt. Ein Klick auf Aktualisieren, und die Tür ist zu.
Was du jetzt tun solltest
- Geh in dein WordPress-Dashboard
- Schau unter Plugins nach Import and export users and customers
- Aktualisiere auf Version 2.4.18 oder höher (Anleitung: Plugins aktualisieren)
- Fertig.
Mach das heute, nicht irgendwann nächste Woche, und starte bis dahin keinen Export mit anschließendem Import. Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an.
Ein Update repariert nicht rückwirkend, was vorher schon passiert sein könnte. Schau nach dem Update einmal in deine Benutzerliste, und wenn dir dort etwas komisch vorkommt, unbekannte Admin-Konten oder fremde E-Mail-Adressen, melde dich bei mir.
Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.
Solche Updates spiele ich für meine Wartungskunden ein, und in all den Jahren wurde noch keine einzige von mir betreute Website gehackt. Bei diesem Plugin hängt an einem verpassten Update ein fremder Administrator in deinem Backend, und das ist nichts, was du nebenbei im Blick behalten solltest. Wenn du willst, dass jemand nach jedem Sicherheitsrelease für dich nachschaut, ob bei dir wirklich alles sauber durchgelaufen ist, schau dir meine WordPress Wartung an.
Quelle: Wordfence, CVE-2026-86583
