Kritische Sicherheitslücke in WordPress-Plugin User Profile Builder ermöglicht Admin-Übernahme (CVE-2026-15826)
Eine kritische Schwachstelle im WordPress-Plugin "User Profile Builder" (Versionen bis 3.16.4) ermöglicht eine Umgehung der Authentifizierung (Authentication Bypass). Durch einen Programmierfehler, eine sogenannte Typverwechslung (Type Confusion), kann das Plugin fälschlicherweise einen…
Was ist passiert?
Eine kritische Schwachstelle im WordPress-Plugin "User Profile Builder" (Versionen bis 3.16.4) ermöglicht eine Umgehung der Authentifizierung (Authentication Bypass). Durch einen Programmierfehler, eine sogenannte Typverwechslung (Type Confusion), kann das Plugin fälschlicherweise einen Anmelde-Token generieren. Dies erlaubt es nicht authentifizierten Angreifern, sich als Administrator (Benutzer-ID 1) anzumelden und die vollständige Kontrolle über die Webseite zu übernehmen.
Wer ist betroffen?
Betroffen sind alle WordPress-Installationen, die das Plugin "User Profile Builder" in Versionen bis einschliesslich 3.16.4 verwenden. Angreifer können die Schwachstelle nutzen, um sich als Administrator anzumelden. Dies führt zu einer vollständigen administrativen Übernahme der betroffenen Webseite.
Wie kritisch ist es?
Die Schwachstelle wird mit einem CVSS-Score von 9.8 als "CRITICAL" (kritisch) eingestuft, was auf ein sehr hohes Risiko hinweist. Die Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen (EPSS) liegt bei 2 %, was derzeit als eher gering einzuschätzen ist. Laut CISA KEV (Known Exploited Vulnerabilities) ist diese Schwachstelle derzeit nicht aktiv ausgenutzt. Trotz der geringen Ausnutzungswahrscheinlichkeit ist das potenzielle Schadensausmass extrem hoch.
Was ist jetzt zu tun?
Prüfen Sie umgehend, ob das Plugin "User Profile Builder" auf Ihrer WordPress-Installation aktiv ist und welche Version Sie nutzen. Aktualisieren Sie das Plugin unverzüglich auf die neueste verfügbare Version; dazu liegen derzeit keine gesicherten Angaben vor, welche spezifische Version die Schwachstelle behebt. Sollte kein Update verfügbar sein, deaktivieren Sie das Plugin vorübergehend. Überprüfen Sie nach dem Update oder der Deaktivierung Ihre Website auf ungewöhnliche Aktivitäten oder neue, unbekannte Administratorkonten.
Quellen: NVD (CVE-2026-15826), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.