Das Wichtigste auf einen Blick
- Betroffen: Ultimate Member (Plugin), bis Version 2.13.0
- Sicher: ab Version 2.13.1
- Bekannt seit: 17.09.2026
- Ninja Risiko-Score: 8 von 10 (hoch). Offizieller CVSS-Wert: 7,2 von 10
- Angreifer braucht: keinen Login
- Was du tun musst: Update auf Version 2.13.1, wenige Minuten
- Quelle: Wordfence, CVE-2026-85680
Seit dem 17. September 2026 ist eine Sicherheitslücke in Ultimate Member bekannt. Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten. Betroffen sind alle Versionen bis Version 2.13.0, sicher bist du ab Version 2.13.1.
Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.
Was ist passiert
Ultimate Member hat Eingaben nicht sauber geprüft und nicht sauber ausgegeben. Dadurch kann jemand von außen Schadcode auf deiner Seite hinterlegen, der jedes Mal mitläuft, sobald eine Besucherin die betroffene Seite aufruft.
Stell dir einen Briefkasten vor, in den jeder etwas einwerfen darf, und deine Website liest jeden Zettel laut vor, auch den mit den fiesen Anweisungen. Damit lassen sich Besucher auf fremde Seiten umleiten oder Eingaben abgreifen. Der Angreifer braucht dafür keinen Login, und niemand muss auf irgendetwas klicken. Es reicht, dass deine Seite online ist.
Klingt fies, ist in fünf Minuten erledigt. Zwei Klicks im Dashboard, danach ist die Tür zu.
Was du jetzt tun solltest
- Geh in dein WordPress-Dashboard
- Öffne den Bereich Plugins und schau nach Ultimate Member
- Aktualisiere auf Version 2.13.1 oder höher (Anleitung: Plugins aktualisieren)
- Fertig
Mach das heute, nicht irgendwann diese Woche. Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an.
Ein Update repariert nicht rückwirkend, was vorher schon passiert sein könnte. Wenn dir danach etwas komisch vorkommt, unbekannte Admin-Konten oder fremde Dateien, melde dich bei mir.
Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.
Genau das übernehme ich sonst für dich. In meiner WordPress Wartung prüfe ich nach jedem Sicherheitsrelease nach, ob das Update wirklich durchgelaufen ist, bei Ultimate Member also, ob danach auch tatsächlich Version 2.13.1 auf deiner Seite steht, mit Backup davor und einem Kontrollblick danach. Du selbst merkst davon nichts. Ab 49 € im Monat, mit mir persönlich als Ansprechpartner.
Quelle: Wordfence, CVE-2026-85680
