Das Wichtigste auf einen Blick
- Betroffen: Ninja Forms (Plugin), bis Version 3.15.3
- Sicher: ab Version 3.15.4
- Bekannt seit: 21.09.2026
- Ninja Risiko-Score: 9 von 10 (kritisch). Offizieller CVSS-Wert: 8,8 von 10
- Angreifer braucht: keinen Login und einen Klick von dir im Backend
- Was du tun musst: Update auf Version 3.15.4, wenige Minuten
- Quelle: Wordfence, CVE-2026-92438
Nutzt du Ninja Forms für dein Kontaktformular? Dann schau heute kurz ins Backend. Das Plugin hat am Sonntag Version 3.15.4 bekommen, und die schließt gleich drei Lücken auf einmal.
Betroffen ist Version 3.15.3 und alles darunter. Sicher bist du ab 3.15.4.
Ninja Risiko-Score: 9 von 10. Das heißt: heute updaten, nicht morgen.
Was ist passiert
Das fieseste Einfallstor ist: Jemand füllt dein Kontaktformular aus und schreibt statt einer Nachricht Schadcode in das Textfeld. Ninja Forms speichert das brav als Einsendung. Sobald du im Backend auf diese Einsendung klickst, um sie zu lesen, läuft der Code in deinem Browser, mit deinen Admin-Rechten. Der Angreifer braucht dafür keinen Login. Er braucht nur dein Formular und deine Neugier.
Die zweite Lücke steckt im CSV-Export der Einsendungen und kann im schlimmsten Fall bis zur Codeausführung auf dem Server gehen, allerdings nur, wenn ein zweites Plugin oder Theme dabei mitspielt. Die dritte ist eine kleinere Variante der ersten.
Klingt nach viel, ist aber mit einem einzigen Update erledigt. Danach ist die Tür zu, alle drei.
Was du jetzt tun solltest
- Geh in dein WordPress-Dashboard
- Schau unter Plugins nach Ninja Forms
- Aktualisiere auf Version 3.15.4 oder höher (Anleitung: Plugins aktualisieren)
- Bis dahin keine Einsendungen öffnen, die komisch aussehen
Mach das heute. Formulare sind öffentlich, jeder kann sie ausfüllen, und genau das macht diese Lücke so bequem für Angreifer.
Ein Update repariert nicht rückwirkend, was vorher schon passiert sein könnte. Wenn dir danach etwas komisch vorkommt, unbekannte Admin-Konten oder fremde Dateien, melde dich bei mir.
Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.
Genau diesen Schritt übernehme ich sonst für dich. In meiner WordPress Wartung kontrolliere ich nach jedem Sicherheitsrelease, ob das Update bei dir wirklich durchgelaufen ist, mit Backup davor und einem Klick durch deine Formulare danach. Du selbst merkst davon nichts, außer dass Ninja Forms bei dir schon auf Version 3.15.4 steht. Ab 49 € im Monat, mit mir persönlich als Ansprechpartner.
Quelle: Wordfence, CVE-2026-92438
