Elementor 4.3.0 und 4.3.1: Ein Link genügt für ein zweites Admin-Konto. Jetzt 4.3.2 einspielen

Wenn Ihre Website mit Elementor 4.3.0 oder 4.3.1 läuft, reicht ein einziger Link, den Sie im angemeldeten Browser öffnen, damit ein Angreifer im Hintergrund alles ausführt, was Ihr Konto über die REST-Schnittstelle darf. Bei einem Administrator heißt das: ein zweites Administratorkonto für den Angreifer. Patchstack hat die Lücke am 25. September 2026 veröffentlicht, Elementor hatte sie am 24. September mit Version 4.3.2 geschlossen. Betroffen sind nur diese beiden Versionen, aber Elementor läuft auf mehreren Millionen Websites, und wer die Updates der letzten Wochen mitgenommen hat, sitzt mit hoher Wahrscheinlichkeit auf einer davon.

Was die Lücke ist

Der Angriff braucht laut Patchstack kein JavaScript, kein Formular und keine Seite unter Kontrolle des Angreifers. Ein schlichter Link in einer E-Mail, einer Chat-Nachricht oder einem Kommentar genügt. Der Grund liegt in einem Modul für die Telemetrie des Editors. In den Versionen 4.3.0 und 4.3.1 schaltet Elementor den einzigen Schutz von WordPress gegen Cross-Site Request Forgery bei cookie-basierten REST-Anfragen ab, sobald die Zeichenfolge elementor/v1/events/ irgendwo in der Anfrage-URL vorkommt. Geprüft wird die komplette URL samt Abfrageparametern, und die schreibt, wer den Link baut. Ein harmlos wirkender Parameter mit dieser Zeichenfolge hebelt die Prüfung für jede beliebige REST-Anfrage aus, etwa für das Anlegen eines Benutzers.

Das Modul steckt hinter einem Experiment, das in der Oberfläche nicht angezeigt wird. Betreiber konnten es also weder sehen noch abschalten. Die Korrektur in 4.3.2 prüft statt der rohen URL die tatsächlich aufgelöste REST-Route. Patchstack weist darauf hin, dass jede REST-Aktion im Rahmen der Rechte des Opfers betroffen war, auch Endpunkte anderer Plugins, die selbst fehlerfrei sind. Zeitlicher Ablauf: Meldung des Forschers Saggre am 22. September, Korrektur am 24. September, Veröffentlichung am 25. September.

Schritt 1: Version prüfen und aktualisieren

Unter „Plugins“ die Version von Elementor nachsehen. Bei 4.3.0 oder 4.3.1 sofort auf 4.3.2 oder neuer aktualisieren. Wer Elementor Pro nutzt, aktualisiert das Basis-Plugin; die Lücke liegt dort. Ältere Versionen vor 4.3.0 sind von dieser Lücke nicht betroffen, sollten aber aus anderen Gründen ohnehin aktuell gehalten werden.

Schritt 2: Benutzerliste kontrollieren

Das Ergebnis eines erfolgreichen Angriffs ist ein Konto, das Sie nicht angelegt haben. Unter „Benutzer“ nach Administratoren und Redakteuren mit unbekannten Namen oder E-Mail-Adressen suchen, besonders nach solchen, die seit Mitte September entstanden sind. Auch geänderte E-Mail-Adressen bestehender Konten sind ein Zeichen, weil sich ein Angreifer damit ein Passwort zurücksetzen lassen kann. Fremde Konten löschen, dann alle Administratorpasswörter ändern und aktive Sitzungen beenden. Da die REST-Schnittstelle auch Einstellungen liefert, lohnt zusätzlich ein Blick auf Website-Adresse, Admin-E-Mail und Registrierungseinstellungen.

Schritt 3: Die Gewohnheit ändern, die solche Angriffe braucht

CSRF-Angriffe funktionieren nur, wenn das Opfer angemeldet ist, während es einen fremden Link öffnet. Drei Regeln, die ich für alle mit Backend-Zugang empfehle:

1. Ein eigenes Browserprofil oder ein eigener Browser nur für die Website-Verwaltung. Links aus Mails und Chats werden im Alltagsbrowser geöffnet, in dem keine Anmeldung besteht.
2. Nach der Arbeit abmelden, statt die Sitzung wochenlang offen zu lassen.
3. Passkeys oder Zwei-Faktor-Anmeldung für alle Konten oberhalb des Abonnenten. Gegen CSRF selbst hilft das nicht, aber es begrenzt, was ein Angreifer mit erbeuteten Daten anfangen kann. Wie ich das einrichte, steht in Passwortlos ins WordPress-Backend.

Für die zweite Elementor-Meldung binnen zwei Wochen nach der MCP-Beta gilt derselbe Grundsatz wie für jedes große Plugin: Je mehr Funktionen ein Werkzeug bekommt, desto mehr Angriffsfläche entsteht. Das ist kein Argument gegen Elementor, mit dem ich seit Jahren arbeite, sondern für zeitnahe Updates. Bei Websites in meiner WordPress-Betreuung war 4.3.2 am Tag der Veröffentlichung eingespielt.

Quellen

• Patchstack: Cross-Site Request Forgery in Elementor Plugin Affecting 2 Million+ Sites

Kurz beantwortet

Welche Elementor-Versionen sind betroffen?

Nur 4.3.0 und 4.3.1. Version 4.3.2 vom 24. September 2026 schließt die Lücke; ältere Versionen sind von diesem Fehler nicht betroffen.

Was kann ein Angreifer mit der Lücke tun?

Jede REST-Aktion ausführen, die das Konto des Opfers darf. Bei einem Administrator reicht ein geöffneter Link, um ein zweites Administratorkonto anzulegen.

Woran erkenne ich, ob ich angegriffen wurde?

An Benutzerkonten, die Sie nicht angelegt haben, an geänderten E-Mail-Adressen bestehender Konten und an veränderten Einstellungen. Fremde Konten löschen, Passwörter ändern, Sitzungen beenden.