Das Wichtigste auf einen Blick
- Betroffen: TranslatePress (Plugin), bis Version 3.3.5
- Sicher: ab Version 3.3.6
- Bekannt seit: 21.09.2026
- Ninja Risiko-Score: 8 von 10 (hoch). Offizieller CVSS-Wert: 7,2 von 10
- Angreifer braucht: keinen Login
- Was du tun musst: Update auf Version 3.3.6, wenige Minuten
- Quelle: Wordfence, CVE-2026-89412
Seit dem 21. September 2026 ist eine Sicherheitslücke in TranslatePress bekannt, und die ist von der ganz fiesen Sorte. Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.
Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.
Was ist passiert
Betroffen sind alle Versionen bis Version 3.3.5. Die gute Nachricht ist, dass Version 3.3.6 die Lücke schließt und schon da ist.
Stell dir das Übersetzungs-Wörterbuch deiner Seite wie einen Briefkasten vor, in den jeder von außen etwas einwerfen kann. Genau das ist hier möglich. Ein Angreifer kann ohne Login Schadcode in die gespeicherten Originaltexte schreiben, und dieser Code wird ausgeführt, sobald jemand die betroffene Seite aufruft.
Passiert das, während du im Backend eingeloggt bist, kann der Code in deinem Namen handeln, also zum Beispiel ein zusätzliches Adminkonto anlegen oder Inhalte verändern. Er braucht dafür weder einen Login noch einen Klick von dir. Es reicht, dass deine Seite online ist.
Klingt schlimm, ist in zwei Minuten erledigt. Ein Klick auf Aktualisieren, danach ist die Tür zu.
Was du jetzt tun solltest
- Geh in dein WordPress-Dashboard
- Schau unter Plugins nach TranslatePress
- Aktualisiere auf Version 3.3.6 oder höher (Anleitung: Plugins aktualisieren)
- Klicke danach einmal durch deine Seite, fertig
Mach das heute, nicht irgendwann diese Woche. Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die automatischen Scans an.
Ein Update repariert nicht rückwirkend, was vorher schon passiert sein könnte. Wenn dir danach etwas komisch vorkommt, unbekannte Admin-Konten oder fremde Dateien, melde dich bei mir. Woran du eine gehackte WordPress-Seite erkennst, habe ich aufgeschrieben.
Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.
Du musst keine Security-Feeds mitlesen und nicht raten, ob so ein Update bei dir dringend ist. In meiner WordPress Wartung wird TranslatePress auf Version 3.3.6 gebracht, mit Backup davor und einem Kontrollklick durch deine Seite danach. Und wenn an deinen Übersetzungen danach etwas komisch aussieht, schreibst du mir persönlich, keine Warteschleife.
Quelle: Wordfence, CVE-2026-89412
