Ultra Addons for Contact Form 7: Sicherheitslücke, Update auf Version 3.5.51

Seit dem 17. September 2026 ist eine Sicherheitslücke in Ultra Addons for Contact Form 7 bekannt, und die ist von der ganz fiesen Sorte. Ninja Risiko-Score: 10 von 10. Das heißt: heute updaten, nicht morgen. Betroffen sind alle Versionen bis Version 3.5.50, sicher bist du ab Version 3.5.51.

Ninja Risiko-Score: 10 von 10. Das heißt: heute updaten, nicht morgen.

Was ist passiert

Dem Plugin fehlt die Prüfung, was für eine Datei da eigentlich hochgeladen wird. Stell dir einen Paketkasten an deiner Haustür vor, in den jeder alles einwerfen darf, und dein Haus packt das danach selbst aus. Genau so kann ein Fremder eine eigene Datei auf deinem Server ablegen und darüber im schlimmsten Fall eigenen Code ausführen lassen, also deine Website kapern, Daten klauen oder Spam verschicken.

Dafür braucht er keinen Login und keinen Klick von dir. Es reicht, dass deine Seite online ist.

Klingt schlimm, ist in zwei Minuten erledigt, und danach ist die Tür zu. Wenn du dich beim Updaten unsicher fühlst, probiere es vorher auf einer Staging Site aus.

Was du jetzt tun solltest

1. Geh in dein WordPress-Dashboard
2. Schau unter Plugins nach Ultra Addons for Contact Form 7
3. Aktualisiere auf Version 3.5.51 oder höher, auf WordPress.org steht inzwischen Version 3.5.52 bereit (Anleitung: Plugins aktualisieren)
4. Klicke danach einmal dein Kontaktformular durch, fertig

Mach das heute, nicht irgendwann diese Woche. Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an.

Ein Update repariert nicht rückwirkend, was vorher schon passiert sein könnte. Wenn dir danach etwas komisch vorkommt, unbekannte Admin-Konten oder fremde Dateien in deinen Uploads, melde dich bei mir, und schau dir in der Zwischenzeit an, was bei einem Verdacht auf einen Hack zu tun ist.

Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.

Add-ons wie Ultra Addons for Contact Form 7 installiert man einmal für ein Formular und denkt danach nie wieder daran. Genau so ist meine eigene Website mal monatelang gehackt worden, über ein vergessenes Nischen-Plugin, das schon lange niemand mehr gepflegt hat. Seitdem prüfe ich bei meinen Kunden nicht nur, ob ein Update da ist, sondern auch, ob ein Plugin überhaupt noch welche bekommt. Wenn du bei deiner eigenen Plugin-Liste unsicher bist, schau dir meine WordPress Wartung an.

Quelle: Wordfence, CVE-2026-84750