Lücke in Ultra Addons for Contact Form 7 (CVSS 9.8): was Agenturen heute prüfen sollten

Am 2. November 2026 veröffentlichte Wordfence eine kritische Lücke in Ultra Addons for Contact Form 7, einem Plugin mit mehr als 60.000 aktiven Installationen. Sie hat CVSS 9.8, braucht keinen Login und kann jede Datei auf dem Server löschen, einschließlich wp-config.php. Eine behobene Version ist seit Wochen verfügbar, für die meisten Agenturen ist das also eine schnelle Prüfung. Hier lesen Sie, wer betroffen ist, wie Sie eine Kunden-Website in zwei Minuten prüfen und was zu tun ist, wenn eine Website schon falsch aussieht.

Was die Lücke ist

• Kennung: CVE-2026-102435, CVSS 9.8 (kritisch), gemeldet über Wordfence.
• Art: PHP-Objektinjektion ohne Anmeldung über ein Feld eines Contact-Form-7-Formulars, die zum Löschen beliebiger Dateien führt.
• Warum es wichtig ist: wenn man wp-config.php löscht, kehrt WordPress zum Installationsbildschirm zurück. Wer diesen Bildschirm ausfüllt, kann die Website auf eine eigene Datenbank zeigen lassen und übernehmen.

Wer betroffen ist

Websites mit Ultra Addons for Contact Form 7 in Version 3.5.54 oder älter, auf denen das Add-on PDF Generator aktiviert ist und mindestens ein Formular eine PDF erzeugt. Websites, die das Plugin haben, die PDF-Funktion aber nicht nutzen, sind für diese Kette nicht angreifbar, sollten aber trotzdem aktualisieren. Die aktuelle Version ist 3.5.57; die Behebung kam in den Versionen nach 3.5.54.

In den Quellen, die wir am 5. November 2026 geprüft haben, fanden wir keine bestätigten Angriffe. Einige Sicherheits-Newsletter berichten, dass Details zur Ausnutzung kursieren, und eine 9.8 ohne Login ist die Art Lücke, nach der schnell gescannt wird. Warten Sie nicht auf Beweise für Angriffe.

Eine Website in zwei Minuten prüfen

1. In wp-admin: Plugins, nach „Ultra Addons“ suchen. Notieren Sie die Version. Ist sie 3.5.54 oder niedriger, öffnen Sie die Add-on-Einstellungen des Plugins und sehen Sie nach, ob PDF Generator aktiviert ist.
2. Mit WP-CLI: wp plugin get ultimate-addons-for-contact-form-7 --field=version. Führen Sie es über alle Kunden-Websites aus, um eine Liste zu erhalten.
3. Schauen Sie aufs Frontend: wenn die Website plötzlich den WordPress-Installationsbildschirm oder den Bildschirm „Konfigurationsdatei erstellen“ zeigt, ist wp-config.php weg. Behandeln Sie das als Vorfall (siehe unten).

Was jetzt zu tun ist

1. Auf 3.5.57 aktualisieren auf jeder Website mit dem Plugin, mit oder ohne PDF-Funktion.
2. Testen Sie nach dem Update ein Formular. Senden Sie es ab, prüfen Sie, ob die Mail ankommt, und, wenn Sie PDFs erzeugen, ob die PDF angehängt ist. Neuere Versionen haben auch Datei-Uploads und die PDF-Verarbeitung geändert.
3. Heute kein Update möglich? Schalten Sie das Add-on PDF Generator ab, bis es geht.
4. Zeigt eine Website den Installationsbildschirm? Füllen Sie ihn nicht aus. Nehmen Sie die Website beim Hoster offline, stellen Sie Dateien und Datenbank aus einem Backup von vor dem Problem wieder her, aktualisieren Sie das Plugin und ändern Sie dann Datenbank- und Admin-Passwörter sowie die Salts in wp-config.php. Suchen Sie nach unbekannten Administratorkonten und Dateien. Unsere Routine für den Tag einer Sicherheitslücke und Anleitung zur Wiederherstellung enthalten alle Schritte.

Wie Verploy hilft

Jedes Update wird geprüft. Riskante Updates werden zuerst auf einer Kopie getestet, einschließlich der Formulare. Bekannte Sicherheitslücken erscheinen pro Website mit einem Link zur Quelle, sodass ein Dashboard zeigt, welche Kunden-Websites noch 3.5.54 oder älter nutzen. Nächtliche verschlüsselte Backups in der EU geben Ihnen einen sauberen Punkt zum Zurückkehren. Mehr zur Überwachung von Sicherheitslücken für Agenturen.

Quelle: Eintrag CVE-2026-102435 (vergeben von Wordfence), veröffentlicht am 2. November 2026, wordfence.com; Plugin-Seite und Changelog, wordpress.org. Geprüft am 5. November 2026.