Kritische Sicherheitslücke in Visual Composer WordPress Plugin (CVE-2026-12227)

Was ist passiert?

Im WordPress-Plugin 'Visual Composer Website Builder' wurde eine kritische Schwachstelle (CVE-2026-12227) entdeckt. Diese ermöglicht eine sogenannte Local File Inclusion (LFI), bei der Angreifer beliebige Dateien auf dem Server einbinden und ausführen können. Betroffen sind alle Versionen bis einschliesslich 45.16.0. Dies kann zur Ausführung von PHP-Code genutzt werden.

Wer ist betroffen?

Unternehmen, die das WordPress-Plugin 'Visual Composer Website Builder' in Version 45.16.0 oder älter einsetzen, sind potenziell betroffen. Da die Schwachstelle von nicht authentifizierten Angreifern ausgenutzt werden kann, ist ein direkter Zugriff auf den Server nicht erforderlich. Dies erhöht das Risiko für alle Installationen, die das betroffene Plugin nutzen.

Wie kritisch ist es?

Die Schwachstelle wird mit einem CVSS-Score von 9.8 als 'kritisch' eingestuft, was auf ein hohes Gefahrenpotenzial hinweist. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage (EPSS) liegt bei 3 %. Obwohl die Schwachstelle derzeit nicht im CISA KEV-Katalog für aktiv ausgenutzte Schwachstellen gelistet ist, sollte die hohe Kritikalität ernst genommen werden.

Was ist jetzt zu tun?

Prüfen Sie umgehend, ob das 'Visual Composer Website Builder'-Plugin auf Ihren WordPress-Installationen verwendet wird. Stellen Sie sicher, dass Sie eine Version höher als 45.16.0 einsetzen, um die Schwachstelle zu beheben. Falls derzeit keine neuere, sichere Version verfügbar ist, sollten Sie die Deaktivierung oder Entfernung des Plugins in Betracht ziehen. Eine regelmässige Überprüfung auf Updates und die Anwendung von Sicherheitspatches ist generell unerlässlich.

Quellen: NVD (CVE-2026-12227), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.