All-in-One WP Migration: Sicherheitslücke kann über manipulierte Archive bis zur Codeausführung führen

Pallade Veneta - All-in-One WP Migration: Sicherheitslücke kann über manipulierte Archive bis zur Codeausführung führen

TECHNIK 03.09.2026

All-in-One WP Migration: Sicherheitslücke kann über manipulierte Archive bis zur Codeausführung führen

Im weit verbreiteten WordPress-Plug-in All-in-One WP Migration and Backup ist eine Sicherheitslücke geschlossen worden. Betroffen sind Versionen bis einschließlich 7.109; Version 7.110 enthält die Korrektur.

Textgröße ändern:

Administratoren von WordPress-Websites sollten das Plug-in All-in-One WP Migration and Backup auf Version 7.110 oder neuer aktualisieren. Eine als hoch eingestufte Schwachstelle kann unter bestimmten Bedingungen über die Wiederherstellung eines manipulierten Archivs zur Ausführung von Schadcode auf dem Server führen.

Die Lücke wird als CVE-2026-19949 geführt und mit einem CVSS-Wert von 8,8 bewertet. Technisch handelt es sich um eine sogenannte Second-Order-SQL-Injection. Dabei wird eine schädliche Eingabe zunächst in einem Archiv platziert und erst später aktiv, wenn ein Administrator dieses Archiv über die Wiederherstellungsfunktion verarbeitet.

Durch unzureichendes Escaping und eine nicht ausreichend vorbereitete SQL-Abfrage können zusätzliche Datenbankbefehle eingeschleust werden. Sicherheitsforscher beschreiben als mögliches Angriffsziel den internen Schlüssel „ai1wm_secret_key“. Gelangt dieser in die Hände eines Angreifers, kann er für weitere Zugriffe auf Restore-Funktionen missbraucht werden und schließlich eine entfernte Codeausführung ermöglichen.

Die Schwachstelle betrifft Version 7.109 und älter. Der Hersteller ServMask veröffentlichte am 20. August 2026 die korrigierte Version 7.110. Das Plug-in kommt nach Angaben einschlägiger Sicherheitsdatenbanken auf rund fünf Millionen aktiven WordPress-Installationen.

Der Angriff setzt voraus, dass ein entsprechend präpariertes Archiv tatsächlich von einem Administrator wiederhergestellt wird. Betreiber sollten deshalb nicht nur aktualisieren, sondern auch keine Archive aus unbekannten oder nicht vertrauenswürdigen Quellen importieren. Für bereits mit einer älteren Version eingespielte Fremdarchive empfiehlt sich eine Kontrolle auf verdächtige Nutzerkonten, neue PHP-Dateien und andere Hinweise auf Manipulation.

D.Bruno--PV

Tesla-Chef Musk stellt fliegenden Roadster vor

"Fliegende Autos sind Wirklichkeit": Mit markigen Worten hat Tesla-Chef Elon Musk den lange erwarteten neuen Roadster des US-Elektroautobauers vorgestellt, der in der "Thrust"-Version mit Schubdüsen kurze Strecken in der Luft zurücklegen kann. Das Auto wurde am Donnerstag auf einem Testgelände von Musks Raumfahrtunternehmen SpaceX nahe Waco im US-Bundesstaat Texas präsentiert. Im Prinzip könne das Auto "wie eine Rakete fliegen", sagte Musk.

Staatsschutz ermittelt: Stinkende Flüssigkeit vor NS-Gedenkstätte in Köln gekippt

Unbekannte haben vor dem NS-Dokumentationszentrum in Köln eine übelriechende Flüssigkeit vergossen. Der Staatsschutz ermittelt wegen Sachbeschädigung, wie die Polizei in der nordrhein-westfälischen Großstadt am Freitag mitteilte. Mitarbeiter der städtischen Einrichtung informierten demnach am Morgen wegen des "extremen" Geruchs die Polizei. An allen drei Zugängen des Gebäudes fanden sich Reste der offenbar gezielt verteilten Flüssigkeit.

US-Chip-Riese Nvidia plant in Europa weitere Milliarden-Investitionen

Der US-Chip-Riese Nvidia plant in Europa weitere Milliarden-Investitionen. "Wir haben noch einige Milliarden Dollar in Vorbereitung", sagte Nvidia-Chef Jensen Huang der Nachrichtenagentur AFP am Donnerstagabend in der schwedischen Hauptstadt Stockholm. "Wir helfen Europa, das KI-Ökosystem aufzubauen", fügte er mit Blick auf Vorhaben im Bereich Künstliche Intelligenz (KI) hinzu.

Zeitmessung: Schaltsekunde wird abgeschafft

Weil die unregelmäßige Drehung der Erde hochpräzisen Atomuhren hinterherhinkt, wurde in der Vergangenheit immer mal wieder eine Schaltsekunde in die offizielle Zeitmessung eingebaut. Doch damit ist nun Schluss: Die zuständige Generalkonferenz für Maß und Gewicht (CGPM) beschloss am Donnerstag im französischen Versailles, dass Sekunden-Unterschiede zwischen der aus der Umdrehungsgeschwindigkeit unseres Planeten resultierenden astronomischen Zeit und Atomuhren nicht mehr ausgeglichen werden sollen.