TL;DR. Eine kritische Lücke in Elementor Pro erlaubt es, ohne Login PHP-Dateien hochzuladen und den Server zu übernehmen – das Update auf 4.2.2 ist Pflicht.
| Worum es geht | CVE-2026-32475 im Formular-Upload von Elementor Pro. Zwei Schleifen bewerten leere Datei-Einträge unterschiedlich – dadurch umgeht ein Angreifer die Endungs-Prüfung und lädt PHP-Code hoch. CVSS 9.0. |
| Betroffen | Alle Elementor-Pro-Versionen vor 4.2.2, sobald eine veröffentlichte Seite ein Formular mit Datei-Upload-Feld enthält. Sicher ist ausschließlich 4.2.2 oder neuer. |
| Lage | Patch am 19. August 2026 erschienen. Aktive Angriffe sind bislang nicht beobachtet – der technische Ablauf ist aber öffentlich dokumentiert, das Zeitfenster zählt. |
| Was zu tun ist | Elementor Pro auf 4.2.2 oder neuer aktualisieren. Wer eine ältere Version mit öffentlichem Upload-Formular betrieben hat, prüft anschließend das Verzeichnis wp-content/uploads/elementor/forms/ auf abgelegte PHP-Dateien – das Update entfernt diese nicht. |
Veröffentlicht: 20.08.2026 · Letzte Aktualisierung: 20.08.2026
Kurzfassung: Die Sicherheitslücke CVE-2026-32475 in der WordPress-Erweiterung Elementor Pro erlaubt es unangemeldeten Angreifern, ausführbare PHP-Dateien auf den Server zu laden und damit beliebigen Code auszuführen. Betroffen sind alle Versionen vor 4.2.2, auf denen eine öffentlich erreichbare Seite ein Elementor-Formular mit Datei-Upload-Feld enthält. Der Patch ist seit dem 19. August 2026 verfügbar. Dieser Artikel erklärt, wie der Angriff technisch funktioniert, wie Sie prüfen ob Sie betroffen sind, und was zu tun ist, wenn bereits eine Datei hochgeladen wurde.
Ein leeres Upload-Feld genügt – und die Endungs-Sperre greift nicht mehr
Elementor gehört mit über zehn Millionen aktiven Installationen zu den meistgenutzten Page-Buildern für WordPress. Die kostenpflichtige Variante Elementor Pro ergänzt unter anderem einen Formular-Baukasten, mit dem sich Kontakt-, Bewerbungs- und Support-Formulare direkt im Editor bauen lassen – inklusive eines Feldes, über das Besucher Dateien anhängen können. Genau dieses Datei-Upload-Feld ist das Einfallstor.
Der Sicherheitsforscher Tin Pham (TF1T) hat die Schwachstelle entdeckt und über die auf das WordPress-Ökosystem spezialisierte Firma Patchstack an den Hersteller gemeldet. Sie trägt die Kennung CVE-2026-32475 und einen CVSS-Score von 9.0 von 10 – der Bereich, den Sicherheitsforscher als „kritisch“ einstufen.
Das Tückische: Die Schutzfunktion, die genau solche Uploads verhindern soll, existiert und ist korrekt programmiert. Sie wird im entscheidenden Moment nur nicht ausgeführt. Wenn Sie Elementor Pro betreiben und Ihre Installation noch nicht auf Version 4.2.2 aktualisiert ist, sollten Sie diesen Artikel zu Ende lesen, bevor Sie etwas anderes tun.
Wie der Angriff technisch funktioniert
Elementor verarbeitet eine hochgeladene Datei in zwei getrennten Schritten: Ein Programmteil prüft die Datei-Endung gegen eine Erlaubnis- und eine Sperrliste, ein zweiter verschiebt die Datei anschließend in ein öffentliches Verzeichnis. Diese beiden Schritte laufen als voneinander unabhängige Schleifen – und sie behandeln einen leeren Datei-Eintrag unterschiedlich. Dieser Unterschied ist die gesamte Lücke.
Die Endungs-Sperre, die eigentlich funktioniert
Beim Absenden eines Formulars prüft die Funktion validation() jeden hochgeladenen Eintrag. Die Endung muss auf einer erlaubten Liste stehen und darf nicht auf einer fest verdrahteten Sperrliste auftauchen. Diese Sperrliste deckt PHP und weitere serverseitig ausführbare Endungen ab – unter anderem php, php3 bis php7, phtml, pht, shtml, asp, aspx, exe und bat. Ein simpler Upload einer .php-Datei wird dadurch normalerweise sauber abgewiesen. Die Prüfung selbst ist korrekt.
Der Fehler: Zwei Schleifen, zwei Regeln
Das Problem liegt im Umgang mit einem leeren Datei-Eintrag – einem Upload-Teil, dessen Dateiname leer ist und den PHP mit dem Status UPLOAD_ERR_NO_FILE meldet. Die Prüf-Schleife und die Verschiebe-Schleife reagieren darauf unterschiedlich:
- Die Prüf-Schleife (
validation()) verlässt bei einem leeren Eintrag die gesamte Funktion sofort. Alles, was nach dem leeren Eintrag folgt, wird nie geprüft. - Die Verschiebe-Schleife (
process_field()) überspringt lediglich den leeren Eintrag und arbeitet die restlichen Einträge ganz normal ab – also auch die Datei danach.
Ein Angreifer nutzt diese Diskrepanz gezielt aus. Er sendet für dasselbe Formularfeld zwei Datei-Teile: An erster Stelle einen leeren Eintrag mit leerem Dateinamen, danach die eigentliche PHP-Schaddatei. Die Prüf-Schleife stößt auf den leeren ersten Eintrag und bricht ab, bevor sie die PHP-Datei je zu Gesicht bekommt – für sie ist die Übermittlung sauber. Die Verschiebe-Schleife überspringt den leeren Eintrag und verschiebt die PHP-Datei anstandslos in das öffentliche Verzeichnis wp-content/uploads/elementor/forms/.
Weil beim Ablegen nur die Datei-Endung übernommen wird und nicht der eingereichte Dateiname, laufen klassische Umgehungsversuche wie shell.php.jpg ins Leere – gespeichert würde nur .jpg. Entscheidend ist allein die finale Endung, und genau die schleust die Schleifen-Diskrepanz durch. Ergebnis: unangemeldete Remote Code Execution auf einer Standard-Installation, ausgelöst über die reguläre AJAX-Aktion elementor_pro_forms_send_form – ohne Cookie, ohne Sicherheits-Token.
Wie der Angreifer die Datei anschließend findet
Die abgelegte Datei erhält einen Namen aus PHPs Funktion uniqid(). Dieser Name ist nicht zufällig, sondern zeitbasiert: Er kodiert die Sekunde und die Mikrosekunde des Uploads. Der Sekunden-Anteil steht dem Angreifer über den Date-Header der Server-Antwort direkt zur Verfügung, nur der Mikrosekunden-Anteil muss durchprobiert werden – ein sehr kleiner Suchraum. Noch einfacher wird es, wenn das Formular eine automatische Bestätigungs-E-Mail an den Absender verschickt: Deren Standard-Vorlage listet alle übermittelten Felder auf, inklusive der exakten URL der hochgeladenen Datei. Ruft der Angreifer diese URL auf, führt der Server den PHP-Code aus – mit den Rechten des Webservers.
Wer ist betroffen?
Die einzige Voraussetzung ist eine veröffentlichte Elementor-Seite mit einem Formular, das ein Datei-Upload-Feld enthält. Das ist eine alltägliche Konfiguration: Bewerbungsformulare, „Foto/Ausweis/Beleg anhängen“-Felder und Support-Tickets nutzen es. Der Hersteller Elementor präzisiert, dass konkret gefährdet sind: Formulare mit Datei-Upload-Feld, bei denen die Option für den Upload mehrerer Dateien aktiviert ist – diese ist standardmäßig deaktiviert. Alle übrigen Elementor-Seiten sind nach Herstellerangabe nicht betroffen; ein Update wird dennoch für alle empfohlen.
| Elementor-Pro-Version | Risiko | Sofortmaßnahme |
| 4.2.1 und älter, ohne Upload-Formular | Kein direktes RCE über diesen Weg | Trotzdem auf 4.2.2 aktualisieren |
| 4.2.1 und älter, mit Datei-Upload-Formular | Vollständige Serverübernahme möglich | Sofort auf 4.2.2 updaten, Upload-Verzeichnis prüfen |
| 4.2.2 und neuer | Nicht betroffen | Aktuell halten |
Beachten Sie: Elementor Pro aktualisiert sich nicht automatisch, wenn kein gültiger Lizenzschlüssel hinterlegt ist. Gerade auf Seiten, die einmal gebaut und danach kaum gepflegt wurden, läuft die Lizenz oft abgelaufen im Hintergrund – und die Updates bleiben aus. Prüfen Sie die installierte Version im WordPress-Backend unter Plugins.
Was tun, wenn Sie betroffen sind?
Der Patch schließt die Lücke, entfernt aber keine Datei, die während des offenen Zeitfensters bereits hochgeladen wurde. Wer eine verwundbare Version mit öffentlichem Upload-Formular betrieben hat, sollte deshalb in zwei Schritten vorgehen:
Schritt 1: Aktualisieren. Bringen Sie Elementor Pro auf Version 4.2.2 oder neuer. Der Patch bringt beide Schleifen wieder auf denselben Stand und prüft die Endung zusätzlich unmittelbar vor dem Verschieben – die Sperrliste schützt damit direkt an der kritischen Stelle.
Schritt 2: Verzeichnis kontrollieren. Sehen Sie sich den Ordner wp-content/uploads/elementor/forms/ an. Alles, was dort keine der von Ihren Formularen tatsächlich akzeptierten Dokument- oder Bild-Endungen trägt – insbesondere Dateien, die auf .php enden – ist verdächtig. Löschen Sie nichts vorschnell: Sichern Sie den Zustand zuerst, damit eine forensische Analyse möglich bleibt und Sie keine Spuren des Einfallswegs vernichten.
Findet sich eine solche Datei, ist die Website als potenziell kompromittiert zu behandeln. Eine PHP-Backdoor überlebt Passwort-Resets und Plugin-Updates und bleibt aktiv, bis sie gezielt gefunden und entfernt wird. Ein einzelnes gelöschtes File reicht dann meist nicht – nötig ist ein vollständiger Abgleich des Datei- und Datenbankbestands gegen bekannte Signaturen, um alle abgelegten Hintertüren zu finden.
Warum diese Lücke ein Muster ist, kein Ausreißer
CVE-2026-32475 ist ein Lehrbuchfall von Desynchronisation: Der Programmteil, der entscheidet ob ein Upload erlaubt ist, und der Teil, der ihn ausführt, lesen dieselben Daten mit unterschiedlichen Regeln. Keine der beiden Schleifen ist für sich genommen falsch – der Fehler existiert nur in der Lücke dazwischen. Diese Art von Bug ist im WordPress-Ökosystem alles andere als selten.
Patchstack, einer der führenden WordPress-Sicherheitsanbieter, registriert jeden Monat hunderte neue Schwachstellen in Plugins, Themes und zunehmend auch im Core. Mehr als 95 Prozent aller WordPress-Hacks nutzen bekannte, längst gepatchte Lücken – nicht Zero-Days, nicht raffinierte gezielte Angriffe, sondern schlicht veraltete Software. Wer Updates konsequent einspielt, übersteht die allermeisten Angriffe unbeschadet. Wer es nicht tut, bietet ein öffentlich dokumentiertes Einfallstor.
Allein in den letzten Wochen reihte sich CVE-2026-32475 in eine Serie schwerer WordPress-Lücken ein: die Core-Schwachstelle wp2shell (CVSS 9.8), die eine Serverübernahme über eine einzige HTTP-Anfrage erlaubt, und die Login-Umgehung xss2shell. Das Muster ist jedes Mal dasselbe – und die Verteidigung ebenfalls: zeitnah patchen, bevor die automatisierten Scanner die ungepatchten Installationen finden.
Häufig gestellte Fragen zur Elementor-Pro-Lücke
Bin ich betroffen, wenn ich Elementor, aber nicht Elementor Pro nutze?
Nein. Die Lücke steckt im Formular-Modul, das ausschließlich in der kostenpflichtigen Variante Elementor Pro enthalten ist. Die kostenlose Version bringt kein Datei-Upload-Feld mit.
Ich habe Elementor Pro, aber kein Formular mit Datei-Upload. Bin ich sicher?
Nach Herstellerangabe ist dann kein direkter Angriffsweg über diese Lücke offen. Sicherheitsforscher und Elementor empfehlen dennoch, auf 4.2.2 zu aktualisieren – schon um andere Sicherheits- und Kompatibilitätsprobleme zu vermeiden.
Reicht das Update, oder muss ich mehr tun?
Das Update auf 4.2.2 schließt die Lücke. War Ihre Seite jedoch mit verwundbarer Version und öffentlichem Upload-Formular erreichbar, sollten Sie zusätzlich das Verzeichnis wp-content/uploads/elementor/forms/ auf hinterlassene PHP-Dateien prüfen. Das Update entfernt bereits abgelegte Dateien nicht.
Wird die Lücke bereits aktiv ausgenutzt?
Zum Zeitpunkt der Veröffentlichung sind laut Patchstack keine Angriffe in freier Wildbahn beobachtet worden. Der technische Ablauf ist jedoch öffentlich beschrieben – erfahrungsgemäß verkürzt das die Zeit bis zu den ersten automatisierten Scans erheblich. Das Zeitfenster zum Patchen ist jetzt.
Wie erkenne ich eine hochgeladene Backdoor?
Von außen kaum. Beginnen Sie im Verzeichnis wp-content/uploads/elementor/forms/ und achten Sie auf Dateien mit ausführbaren Endungen oder ungewöhnlichen, zufällig wirkenden Namen. Eine verlässliche Aussage liefert nur ein vollständiger Code-Audit durch einen Spezialisten, da Backdoors sich gezielt in unauffälligen Pfaden verstecken.
Schützt eine Web Application Firewall vor der Lücke?
Patchstack hat für seine Kunden Mitigation-Regeln ausgerollt, und eine WAF kann bekannte Exploit-Muster abfangen. Das ist jedoch nur eine Zwischenlösung. Der Angriff läuft über die reguläre AJAX-Aktion mit korrekt formatiertem Payload und lässt sich nicht zuverlässig von legitimen Formular-Uploads unterscheiden. Verlässlichen Schutz bietet allein das Update auf 4.2.2.
Fazit
CVE-2026-32475 zeigt einmal mehr, wie schmal der Grat zwischen einer funktionierenden Schutzfunktion und einer kritischen Lücke ist: Ein einziger leerer Datei-Eintrag genügt, damit Prüfung und Verarbeitung auseinanderlaufen und aus einem harmlosen Upload-Feld eine unangemeldete Serverübernahme wird. Die gute Nachricht: Der Patch ist da, das Update auf Elementor Pro 4.2.2 dauert Minuten und ist im Lizenzumfang enthalten.
Prüfen Sie jetzt, ob Ihre Installation aktuell ist. Betreiben Sie ein Formular mit Datei-Upload und war die Seite mit einer älteren Version erreichbar, kontrollieren Sie zusätzlich das Upload-Verzeichnis auf hinterlassene PHP-Dateien. Der Patch selbst ist kostenlos und in wenigen Minuten eingespielt – das offene Zeitfenster schließt sich mit jeder Installation, die aktualisiert wird.
Quellen: Patchstack (Advisory zu CVE-2026-32475), BleepingComputer, Elementor (Hersteller-Hinweis). Entdeckung: Tin Pham (TF1T). CVE-Details: CVE-2026-32475, CVSS 9.0. Letzte Aktualisierung: 20.08.2026.