Das Wichtigste auf einen Blick
- Betroffen: WP Ultimate Review (Plugin), bis Version 2.4.2
- Sicher: ab Version 2.4.3
- Bekannt seit: 21.09.2026
- Ninja Risiko-Score: 7 von 10 (hoch). Offizieller CVSS-Wert: 8,1 von 10, der Ninja-Score liegt niedriger, weil der Angreifer Hürden nehmen muss
- Angreifer braucht: einen Login
- Was du tun musst: Update auf Version 2.4.3, wenige Minuten
- Quelle: Wordfence, CVE-2026-92235
Seit dem 21. September 2026 ist eine Sicherheitslücke in WP Ultimate Review bekannt, betroffen sind alle Versionen bis Version 2.4.2. Ninja Risiko-Score: 7 von 10. Das heißt: heute updaten, Version 2.4.3 schließt die Lücke.
Ninja Risiko-Score: 7 von 10. Das heißt: heute updaten.
Was ist passiert
WP Ultimate Review verarbeitet die Daten aus einer Bewertung und führt darin auch Kürzel aus, also die Bausteine in eckigen Klammern, mit denen Plugins Inhalte auf deiner Seite einbauen. Bis Version 2.4.2 hat das Plugin nicht geprüft, was da eigentlich drinsteht.
Damit kann jemand deiner Seite ein beliebiges Kürzel unterschieben und sie dazu bringen, es auszuführen, und so an Inhalte und Daten kommen, die nie für ihn gedacht waren. Dafür braucht er einen Login, es reicht aber schon das kleinste Benutzerkonto, also ein Abonnent. Das ist vor allem dann ein Thema, wenn sich auf deiner Seite jeder selbst registrieren kann, etwa in einem Shop oder einem Mitgliederbereich. Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an.
Klingt fies, ist in zwei Minuten erledigt. Ein Klick im Dashboard, danach ist die Tür zu.
Was du jetzt tun solltest
- Geh in dein WordPress-Dashboard.
- Schau unter Plugins nach WP Ultimate Review.
- Aktualisiere auf Version 2.4.3 oder höher (Anleitung: Plugins aktualisieren).
- Klick einmal durch deine Seite und schau, ob alles läuft. Fertig.
Mach das heute, nicht irgendwann nächste Woche. Die Lücke ist seit ein paar Tagen öffentlich, und automatisierte Scans suchen genau nach solchen Versionsständen.
Ein Update repariert nicht rückwirkend, was vorher schon passiert sein könnte. Wenn dir danach etwas komisch vorkommt, unbekannte Benutzerkonten oder fremde Dateien, melde dich bei mir.
Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.
Wenn du dir nicht sicher bist, ob das Update bei WP Ultimate Review sauber durchgelaufen ist, schreib mir gerne kurz. Genau das prüfe ich in meiner WordPress Wartung nach jedem Sicherheitsrelease für meine Kunden nach, mit Backup vorher und einem Klick durch die Seite danach. Du musst dafür nichts verstehen und nichts im Blick behalten.
Quelle: Wordfence, CVE-2026-92235
