CVE-2026-1357 -- WPvivid RCE

Nicht authentifizierte Remote-Codeausführung (RCE) in WPvivid Backup & Migration

800%2C000-brightgreen?style=for-the-badge" alt="Installs">

Kritischer Fehler, der über 800.000–900.000+ WordPress-Websites betrifft
Nicht authentifizierter beliebiger PHP-Upload → vollständige Serverkompromittierung

---

🌩️ Übersicht

CVE-2026-1357 (CVSS 9.8 – Kritisch) betrifft das Plugin Migration, Backup, Staging – WPvivid Backup & Migration (≤ 0.9.123).

• Plugin → WPvivid Backup & Migration
• Betroffene Versionen → ≤ 0.9.123
• Behobene Version → 0.9.124 (veröffentlicht ~28. Januar 2026)
• Angriffsvektor → Netzwerk
• Komplexität → Niedrig
• Erforderliche Berechtigungen → Keine
• Benutzerinteraktion → Keine
• Auswirkung → Remote-Codeausführung (hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit)

Die Schwachstelle befindet sich in der optionalen Funktion „Backup von einer anderen Website empfangen" des Plugins (über wpvivid_action=send_to_site). Ist diese aktiviert, kann ein nicht authentifizierter Angreifer beliebige Dateien – am gefährlichsten PHP-Webshells – an über das Web erreichbare Speicherorte wie /wp-content/uploads/ hochladen.

🛠️ Grundursache (verkettete Schwachstellen)

→ Angreifer erstellt eine mit dem Nullschlüssel verschlüsselte Nutzlast → umgeht „Auth" → schreibt .php-Datei an jeden beschreibbaren Ort.

🔥 Auswirkungen

• Nicht authentifizierte Remote-Codeausführung als Webserver-Benutzer (typischerweise www-data)
• Vollständige Website-Kompromittierung: Backdoors, Datenexfiltration, Ransomware, Defacement
• Öffentliche PoCs erschienen kurz nach der Offenlegung (Feb. 2026)
• Hohes reales Risiko aufgrund der einfachen Ausnutzbarkeit und der großen Installationsbasis

Hinweis: Für die Ausnutzung muss die Funktion „Backup empfangen" aktiviert sein (nicht standardmäßig) und ein gültiges/nicht abgelaufenes API-Token vorliegen (max. 24 Stunden Lebensdauer).

📅 Zeitleiste

🛡️ Gegenmaßnahmen & Härtung

Sofortmaßnahme
Upgrade auf WPvivid Backup & Migration ≥ 0.9.124 (Behebungen: korrekte Behandlung von Entschlüsselungsfehlern, Dateinamen-Bereinigung, Dateityp-Beschränkungen).

Temporäre Workarounds (falls das Upgrade verzögert ist):

• „Backup von einer anderen Website empfangen" in den Plugin-Einstellungen deaktivieren
• Plugin deaktivieren/löschen, falls nicht benötigt
• /wp-admin/admin-ajax.php-POSTs mit action=wpvivid_send_to_site blockieren (per WAF / .htaccess)

Prüfungen nach einem Vorfall

• /wp-content/uploads/ (und andere beschreibbare Verzeichnisse) nach verdächtigen .php-Dateien durchsuchen
• Zugriffsprotokolle auf anomale POSTs an admin-ajax.php prüfen
• Nach Webshells scannen, Anmeldedaten rotieren, bei Kompromittierung aus sauberem Backup wiederherstellen

Allgemeine Best Practices

• WordPress-Core, Themes und Plugins aktuell halten
• Sicherheits-Plugins verwenden (Wordfence, Sucuri usw.)
• Dateiberechtigungen einschränken; XML-RPC deaktivieren, falls ungenutzt

🔗 Referenzen

• Offizieller NVD-Eintrag

• Wordfence-Advisory (detaillierte Offenlegung)

• Plugin-Seite

• Nuclei-Template: Offiziell in projectdiscovery/nuclei-templates (hinzugefügt in v10.4.0)

---

_{Patch früh • Patch oft • Bleib sicher}