CVE-2026-32475: Elementor Pro wird massenhaft angegriffen, so prüfen Sie Ihre Seite auf Webshells

Veröffentlicht: 20.08.2026 · Letzte Aktualisierung: 07.09.2026 (Update: aktive Massenausnutzung)

Was ist passiert

Seit dem 19.08.2026 greifen Angreifer WordPress-Seiten mit ungepatchtem Elementor Pro über die kritische Schwachstelle CVE-2026-32475 an. Wordfence hat allein in den ersten fünf Tagen über 190.000 Exploit-Versuche gegen seine Kunden blockiert.

Die Dimension ist erheblich: Elementor ist mit über 10 Millionen Installationen der meistgenutzte Page Builder für WordPress, die kostenpflichtige Pro-Version kommt auf über 6 Millionen aktive Installationen. Nach Auswertung der offiziellen WordPress-Verbreitungsdaten liefen Anfang September noch rund zwei Drittel aller Elementor-Installationen auf einer verwundbaren Versionslinie (Stand 04.09.2026 laut SecurityWeek).

In der ersten Fassung dieses Artikels vom 20.08.2026 hatten wir die Lücke technisch erklärt. Damals gab es die Schwachstelle und den Patch, aber noch keine öffentlich dokumentierte Angriffswelle. Das hat sich geändert: Am 03.09.2026 meldete Wordfence (das Sicherheitsteam der Firma Defiant) die aktive Massenausnutzung, kurz darauf berichteten BleepingComputer, The Hacker News und SecurityWeek. Dieser vollständig aktualisierte Beitrag beschreibt den neuen Stand: Was jetzt passiert, wer betroffen ist und wie Sie Ihre Seite in sechs Schritten prüfen.

Wie der Angriff abläuft

Der Angriff braucht keinen Login, keine gestohlenen Zugangsdaten und kein Vorwissen über die Zielseite. Er nutzt einen Logikfehler in der Formularverarbeitung von Elementor Pro, der sich mit einer einzigen präparierten POST-Anfrage ausnutzen lässt.

Der Validierungs-Bypass

Elementor Pro prüft hochgeladene Dateien in einer Validierungsschleife: erlaubte Dateitypen, Größe, Inhalt. Der Fehler steckt im Umgang mit Datei-Arrays. Reicht der Angreifer das Upload-Feld als Array ein, dessen erstes Element leer ist, bricht die Prüfschleife beim leeren Eintrag mit einem Fehler ab und kehrt zurück, statt einfach zum nächsten Element weiterzugehen. Alle nachfolgenden Dateien im selben Feld werden dadurch nie validiert.

Die Verarbeitungsschleife dagegen verhält sich korrekt: Sie überspringt das leere erste Element und verarbeitet das zweite. Genau dort platziert der Angreifer seine PHP-Datei. Ergebnis: Die Datei wird ungeprüft auf den Server geschrieben, obwohl PHP-Uploads eigentlich verboten sind. Elementor hat das in Pro 4.2.2 behoben, im Changelog nüchtern vermerkt als „Improved code security enforcement in Form widget“ (Elementor-Changelog).

Wo die Webshell landet

Die hochgeladene Datei landet in /wp-content/uploads/elementor/forms/, dem Verzeichnis, in dem Elementor Pro reguläre Formular-Uploads ablegt. Der Dateiname wird zufällig generiert, die Endung bestimmt der Angreifer, in den beobachteten Angriffen ist das .php. Anschließend ruft der Angreifer die Datei direkt über ihre URL auf und der Webserver führt sie aus. Ab diesem Moment ist es keine Formular-Datei mehr, sondern eine Webshell: eine Fernsteuerung für Ihren Server im Browser des Angreifers.

Was Angreifer danach tun

Mit einer laufenden Webshell ist die eigentliche Lücke nur noch der Türöffner. Typische Folgeschritte, die wir aus der Bereinigungspraxis kennen: Anlegen zusätzlicher Administrator-Konten, Einbau weiterer Backdoors in Theme- und Plugin-Dateien (damit der Zugang auch ein Update übersteht), Nachladen von Malware, Einrichten von Spam-Redirects auf dubiose Zielseiten sowie Missbrauch des Servers für Phishing-Mails oder weitere Angriffe. Je länger eine Webshell unentdeckt bleibt, desto teurer wird die Bereinigung.

Wichtig für die Einordnung: Diese Folgeschritte laufen heute weitgehend automatisiert ab. Die beobachteten Angriffswellen sind keine gezielten Attacken auf einzelne Unternehmen, sondern breit gestreute Scans, die jede erreichbare WordPress-Seite mit dem passenden Formular durchprobieren. Für die Frage, ob Ihre Seite ein Ziel ist, spielt es deshalb keine Rolle, wie bekannt Ihr Unternehmen ist oder wie viel Traffic die Seite hat. Entscheidend ist allein, ob die technische Voraussetzung erfüllt ist.

Wer ist betroffen

Betroffen sind Seiten, auf die zwei Bedingungen gleichzeitig zutreffen: Elementor Pro in Version 4.2.1 oder älter, und mindestens ein öffentlich erreichbares Formular mit einem Datei-Upload-Feld. Ohne Upload-Feld gibt es den verwundbaren Code-Pfad im Frontend nicht, ohne Pro-Version fehlt das Form-Widget komplett.

Achten Sie auf die Versionsverwirrung: Elementor Core (das kostenlose Basis-Plugin) und Elementor Pro haben getrennte Changelogs mit gleichlautenden Versionsnummern. Core 4.2.2 erschien bereits am 06.08.2026 und hat mit dieser Lücke nichts zu tun. Entscheidend ist allein Elementor Pro 4.2.2 vom 19.08.2026. Prüfen Sie also unter Plugins die Version von „Elementor Pro“, nicht die von „Elementor“.

Für die Praxis heißt das: Inventarisieren Sie zuerst. Welche Ihrer Seiten setzen Elementor Pro ein, welche Version läuft dort, und auf welchen Seiten sind Formulare mit Upload-Feld veröffentlicht? Typische Kandidaten sind Bewerbungsformulare mit Lebenslauf-Upload, Support- und Reklamationsformulare mit Foto-Anhang oder Angebotsanfragen mit Datei-Anhang. Auch nicht verlinkte, aber veröffentlichte Seiten zählen, denn die Angreifer finden Formulare über automatisierte Scans und nicht über Ihre Navigation.

Ein oft übersehener Sonderfall: Elementor Pro bezieht Updates über den Lizenzserver des Herstellers Elementor Ltd. Installationen mit abgelaufener oder nie aktivierter Lizenz, etwa aus einem alten Agenturprojekt oder aus zweifelhafter Quelle, bekommen das Sicherheitsupdate nicht automatisch angeboten und bleiben dauerhaft verwundbar, ohne dass es im Dashboard auffällt.

Wenn Sie unsicher sind, welche Variante bei Ihnen läuft: Öffnen Sie im WordPress-Backend den Menüpunkt Plugins und suchen Sie nach dem Eintrag „Elementor Pro“. Steht dort eine Versionsnummer von 4.2.1 oder darunter, ist die Installation verwundbar und das Update überfällig. Steht dort gar kein Eintrag „Elementor Pro“, sondern nur „Elementor“, betrifft Sie diese Lücke nicht. Bei mehreren betreuten Seiten lohnt sich die Abfrage per WP-CLI mit wp plugin get elementor-pro --field=version, das lässt sich über alle Installationen automatisieren.

Timeline

• 19.08.2026: Elementor Ltd. veröffentlicht Elementor Pro 4.2.2 mit dem Fix. Noch am selben Tag registriert Wordfence die ersten Exploit-Versuche in freier Wildbahn.
• 19. bis 23.08.2026: Massive Angriffswelle, über 190.000 blockierte Exploit-Versuche allein im Wordfence-Netzwerk.
• 20.08.2026: Die erste Fassung dieses Artikels mit der technischen Analyse der Lücke erscheint auf cms-admins.de.
• 03.09.2026: Wordfence publiziert den Bericht zur aktiven Massenausnutzung inklusive Angriffsdetails und Angreifer-IPs.
• 04./05.09.2026: Folgeberichte von BleepingComputer, The Hacker News und SecurityWeek. SecurityWeek beziffert den Anteil verwundbarer Elementor-Installationen auf rund zwei Drittel.

Sofortmaßnahmen: In 6 Schritten prüfen und absichern

1. Elementor Pro aktualisieren. Bringen Sie Elementor Pro auf Version 4.2.2 oder neuer (aktuell ist 4.2.3). Prüfen Sie dabei den Lizenzstatus: Ohne aktive Lizenz erhält das Plugin keine Updates, dann muss die Lizenz erneuert oder das Plugin manuell mit einem sauberen Paket des Herstellers aktualisiert werden.

2. Upload-Ordner auf Webshells prüfen. Suchen Sie in /wp-content/uploads/elementor/forms/ nach ausführbaren Dateien mit Endungen wie .php, .phtml oder .phar. Per SSH:

find wp-content/uploads/elementor/forms -type f -name "*.ph*"

In diesem Verzeichnis gehören ausschließlich harmlose Formular-Anhänge abgelegt. Jede PHP-Datei dort ist ein starker Kompromittierungs-Indikator, unabhängig vom Dateinamen.

3. Webserver-Logs sichten. Durchsuchen Sie Ihre Access-Logs seit dem 19.08.2026 nach POST-Anfragen an /wp-admin/admin-ajax.php, über die Elementor-Formulare eingereicht werden. Auffällig sind gehäufte Anfragen von einzelnen IPs ohne zugehörige Seitenaufrufe. Der Wordfence-Bericht listet die aktivsten Angreifer-IPs zum Abgleich und für Ihre Blockliste.

4. Nach Folgeschäden suchen. Kontrollieren Sie die Administrator-Konten auf unbekannte Einträge, vergleichen Sie die WordPress-Core-Dateien mit dem Original (wp core verify-checksums), prüfen Sie geplante Cronjobs auf fremde Einträge und die .htaccess auf nachträgliche Änderungen wie Redirects.

5. PHP-Ausführung im Uploads-Verzeichnis abschalten. Diese Härtung wirkt über den aktuellen Fall hinaus, denn im Uploads-Verzeichnis hat ausführbarer Code grundsätzlich nichts verloren. Bei nginx:

location ~* /wp-content/uploads/.*.php$ {
    deny all;
}

Bei Apache genügt eine .htaccess im Uploads-Verzeichnis:

<FilesMatch ".(php|phtml|phar)$">
    Require all denied
</FilesMatch>

Beide Varianten sorgen dafür, dass der Webserver Dateien mit PHP-Endung im Uploads-Bereich gar nicht erst an den PHP-Interpreter übergibt. Legitime Uploads wie PDFs oder Bilder sind davon nicht betroffen. Testen Sie die Regel nach dem Einrichten, indem Sie eine harmlose Testdatei mit PHP-Endung ablegen und aufrufen: Der Server muss den Zugriff verweigern, statt die Datei auszuführen.

6. Bei einem Fund: bereinigen, nicht nur löschen. Finden Sie eine Webshell, nehmen Sie die Seite offline oder hinter eine Wartungsseite, prüfen Sie ein sauberes Backup von vor dem 19.08.2026 und lassen Sie die Installation vollständig bereinigen. Das bloße Löschen der gefundenen Datei reicht nicht, weil Angreifer in aller Regel weitere Zugänge hinterlegen. Wie eine professionelle Bereinigung abläuft, beschreiben wir auf unserer Seite WordPress gehackt: Notfall-Hilfe.

Einschätzung von CMS ADMINS

Der Fall zeigt drei Dinge, die über Elementor hinaus gelten.

Vorweg zur Größenordnung: Über 190.000 blockierte Versuche in fünf Tagen sind nur der Ausschnitt, den Wordfence bei den eigenen Kunden sieht. Die Gesamtzahl der Angriffe über alle WordPress-Installationen weltweit liegt zwangsläufig darüber. Gleichzeitig läuft laut den offiziellen Verbreitungsdaten ein großer Teil der Installationen weiterhin auf verwundbaren Versionslinien. Diese Kombination aus laufenden Angriffen und großem ungepatchtem Bestand ist genau die Lage, in der aus einer Plugin-Lücke wochenlang ein Massenproblem wird.

Ein Patch entfernt keine Webshells. Wer heute auf 4.2.2 aktualisiert, schließt die Tür, wirft aber niemanden hinaus, der schon drin ist. Zwischen dem 19.08. und Ihrem Update lagen im schlechtesten Fall fast drei Wochen aktiver Angriffe. Deshalb gehört zu jedem verspäteten Sicherheitsupdate die Prüfung auf Kompromittierung dazu, mindestens die Schritte 2 bis 4 oben.

Angriffe beginnen am Patch-Tag. Zwischen Veröffentlichung des Fixes und den ersten Exploits lag hier keine Schonfrist, sondern null Tage. Angreifer vergleichen automatisiert den Code vor und nach dem Update und lesen aus dem Diff die Lücke heraus. Die Konsequenz für den Betrieb: Sicherheitsupdates sind keine Monatsaufgabe, sondern eine Frage von Stunden. Genau dafür betreiben wir unsere WordPress-Wartung mit Update-Service, bei der kritische Patches zeitnah eingespielt und dokumentiert werden.

Uploads-Verzeichnisse dürfen niemals Code ausführen. Wäre die PHP-Ausführung unter /wp-content/uploads/ serverseitig gesperrt, hätte die hochgeladene Datei auf dem Server gelegen, aber nichts anrichten können. Diese Härtung gehört in jede Serverkonfiguration. Auf unserem Hosting in Deutschland ist sie Standard, zusammen mit weiteren serverseitigen Schutzschichten, die unabhängig vom Patch-Stand einzelner Plugins greifen.

Ein Wort an Agenturen: Wer zwanzig oder fünfzig Kundenseiten mit Elementor Pro betreut, hat gerade zwanzig oder fünfzig potenzielle Einfallstore und dazu die Lizenzfrage bei jeder einzelnen Installation. Prüfen Sie den Bestand systematisch statt seitenweise auf Zuruf: eine Liste aller betreuten Seiten, pro Seite die Elementor-Pro-Version, der Lizenzstatus und die Frage nach öffentlichen Upload-Formularen, danach die Prüfung des Upload-Ordners auf jeder Seite, die vor dem Update verwundbar war. Das ist an einem Tag machbar und deutlich günstiger als eine einzige Bereinigung samt Kundengespräch über die Frage, warum die Seite drei Wochen offen stand. Wie wir Agenturen dabei mit White-Label-Wartung entlasten, steht auf unserer Seite für Digital- und Marketing-Agenturen.

Und eine Anmerkung zum Zeitpunkt dieses Updates: Dass zwischen Patch und Massenausnutzung kein Abstand mehr liegt, ist kein Elementor-Sonderfall, sondern der neue Normalzustand bei weit verbreiteten WordPress-Plugins. Wir haben dasselbe Muster in den vergangenen Monaten bei mehreren kritischen Lücken beobachtet. Wer WordPress geschäftlich betreibt, sollte seine Update-Prozesse an dieser Realität ausrichten und nicht an der Hoffnung, dass Angreifer ein paar Wochen warten.

FAQ

Ist meine Seite betroffen, wenn ich nur Elementor Free nutze?

Nein. Die Lücke steckt im Form-Widget mit Datei-Upload, das es nur in der kostenpflichtigen Pro-Version gibt. Elementor Free enthält den verwundbaren Code nicht. Prüfen Sie aber genau, ob nicht doch irgendwo Elementor Pro aktiv ist, etwa aus einer früheren Projektphase.

Woran erkenne ich, ob meine Elementor-Pro-Seite bereits gehackt wurde?

Der deutlichste Indikator sind PHP-Dateien im Verzeichnis /wp-content/uploads/elementor/forms/, dort gehören nur harmlose Formular-Anhänge hin. Weitere Warnzeichen: unbekannte Administrator-Konten, veränderte Core-Dateien, fremde Cronjobs, plötzliche Weiterleitungen oder Spam-Inhalte. Fehlende Funde in Schritt 2 bis 4 unserer Checkliste sind ein gutes, aber kein absolutes Entwarnungssignal.

Reicht das Update auf 4.2.2, um einen bestehenden Hack zu entfernen?

Nein. Das Update schließt nur die Lücke für die Zukunft. Eine bereits hochgeladene Webshell und alle nachträglich eingebauten Backdoors bleiben nach dem Update voll funktionsfähig. Wenn Ihre Seite zwischen dem 19.08.2026 und Ihrem Update verwundbar und ein Upload-Formular öffentlich war, gehört eine Kompromittierungs-Prüfung zwingend dazu.

Welche Version von Elementor Pro ist sicher?

Elementor Pro 4.2.2 vom 19.08.2026 oder neuer, aktuell ist Version 4.2.3. Alle Pro-Versionen bis einschließlich 4.2.1 sind verwundbar. Verwechseln Sie die Pro-Version nicht mit Elementor Core: Dessen Version 4.2.2 erschien schon am 06.08.2026 und behebt diese Lücke nicht.

Ich habe keine Formulare mit Datei-Upload, bin ich trotzdem gefährdet?

Durch diese konkrete Lücke nicht, denn der Angriff läuft über ein öffentlich erreichbares Upload-Feld. Aktualisieren sollten Sie trotzdem sofort: Ein Formular ist schnell hinzugefügt oder liegt vergessen auf einer alten Landingpage, und veraltete Plugin-Versionen sammeln mit der Zeit weitere Lücken an. Prüfen Sie im Zweifel alle veröffentlichten Seiten auf Formulare mit Upload-Feld.

Was kostet eine professionelle Bereinigung nach einem Elementor-Pro-Hack?

Das hängt vom Umfang der Kompromittierung ab, pauschale Zahlen ohne Analyse wären unseriös. Entscheidend für die Kosten ist, wie lange der Angreifer Zeit hatte und wie viele Backdoors verteilt wurden. Bei unserem Notfall-Service für gehackte WordPress-Seiten steht die Analyse am Anfang, danach erhalten Sie ein konkretes Angebot. Je früher Sie prüfen, desto günstiger wird es.

Fazit

CVE-2026-32475 ist keine theoretische Gefahr mehr, sondern eine laufende Angriffswelle mit über 190.000 dokumentierten Exploit-Versuchen und einem großen Bestand ungepatchter Installationen. Wer Elementor Pro einsetzt, muss jetzt zwei Dinge tun: auf Version 4.2.2 oder neuer aktualisieren und ehrlich prüfen, ob in der Zeit seit dem 19.08.2026 bereits jemand durch die offene Tür gegangen ist. Ein Update allein beweist nicht, dass Ihre Seite sauber ist.

Wenn Sie diese Prüfung nicht selbst durchführen möchten oder dauerhaft sicherstellen wollen, dass kritische Updates Sie nie wieder wochenlang warten lassen, übernehmen wir das: Unsere Leistungen rund um WordPress-Sicherheit reichen von der einmaligen Sicherheitsprüfung bis zur laufenden Betreuung mit Update-SLA.