Folgen Eine kritische Sicherheitslücke im beliebten Forminator-Forms-Plugin für WordPress kann es nicht authentifizierten Angreifern ermöglichen, ausführbare PHP-Dateien hochzuladen und potenziell die vollständige Kontrolle über gefährdete Websites zu übernehmen. Die als CVE-2026-15748 verfolgte Schwachstelle für das Hochladen von beliebigen Dateien weist einen CVSS-Wert von 9,8 auf und betrifft Forminator-Versionen bis einschließlich 1.56.1.
Forminator ist ein weit verbreiteter Drag-and-Drop-Formular-Builder, der für Kontaktformulare, Zahlungsformulare, Umfragen, Quiz und Datei-Uploads verwendet wird. Das Plugin hat mehr als 600.000 aktive Installationen. SecurityWeek schätzte, dass über 300.000 Websites noch anfällige Versionen verwendeten, als das Problem öffentlich bekannt wurde, was eine signifikante potenzielle Angriffsfläche schafft.
Die Schwachstelle ist besonders gefährlich, weil die Ausnutzung keine Authentifizierung oder Benutzerinteraktion erfordert. Unter der erforderlichen Formular-Konfiguration kann ein Angreifer die Formularübertragung von Forminator manipulieren, Einschränkungen für gefährliche Dateitypen umgehen und PHP-Code auf den Webserver hochladen. Wenn die hochgeladene Datei ausführbar ist, kann der Angriff direkt in eine Remote-Code-Ausführung und vollständige Kompromittierung der WordPress-Site übergehen.
Analyse von CVE-2026-15748
Die Schwachstelle hat ihren Ursprung in der handle_file_upload()-Funktionalität von Forminator und resultiert aus einer Kombination unzureichender Dateitypvalidierung und unsicherer Handhabung von angreifer-kontrollierten Formular-Konfigurationsdaten. Anstatt sich auf ein einzelnes Validierungsversagen zu verlassen, kombiniert ein Angreifer mehrere Schwächen im Formularübermittlungsprozess, um gewöhnliche benutzerkontrollierte Daten in eine gefälschte Upload-Konfiguration umzuwandeln.
Für eine erfolgreiche Ausnutzung ist ein veröffentlichtes Forminator-Formular erforderlich, das sowohl ein Datei-Upload-Feld als auch ein Auswahlfeld enthält. Wordfence stellte fest, dass ein Auswahlfeld als Träger für speziell angefertigte verschachtelte Daten missbraucht werden kann, da der generische Anforderungs-Sanitizer von Forminator es bestimmten verschachtelten Werten ermöglicht, spätere Verarbeitungsstadien zu erreichen.
Ein Angreifer kann diese Daten so manipulieren, dass das Auswahlfeld effektiv als Upload-Datensatz fungiert. Der gefälschte Datensatz kann angreifer-kontrollierte Werte enthalten, die den Feldnamen, Typ und Konfiguration definieren. Wenn das Formular zusätzlich ein echtes Datei-Upload-Feld enthält, bearbeitet die Upload-Verarbeitung von Forminator den gefälschten Eintrag und übergibt die vom Angreifer bereitgestellte Konfiguration an den Upload-Handler, als wäre sie legitim.
Der zweite Teil der Ausnutzung zielt auf die Blockliste für gefährliche Erweiterungen von Forminator ab. Das Plugin versucht, Dateitypen wie PHP, JavaScript, ausführbare Dateien, Shell-Skripte und andere potenziell gefährliche Formate zu entfernen. Die angreifbare Implementierung führt jedoch eine exakte Schlüsselübereinstimmung durch.
Wordfence demonstrierte, dass ein Angreifer eine alternative Erweiterung und MIME-Typ-Ausdruck bereitstellen kann, die von der Blockliste nicht erkannt werden, aber von WordPress dennoch als mit einer .php-Datei übereinstimmend interpretiert werden. Dies ermöglicht einem ausführbaren PHP-Payload, den anfälligen Datei-Validationsprozess zu passieren und auf dem Server geschrieben zu werden.
CVE-2026-15748 betrifft jede Forminator-Version bis einschließlich Version 1.56.1. Das Problem wird als CWE-434, unerlaubtes Hochladen von Dateien mit gefährlichem Typ, kategorisiert, und sein CVSS-Vektor spiegelt netzwerkbasierte Ausnutzung mit geringer Komplexität, keinen Berechtigungen, keiner Benutzerinteraktion und potenziell hohem Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit wider.
Es gibt eine zusätzliche Bedingung, die bestimmt, ob ein beliebiger Dateiupload sofort zu einer Remote-Code-Ausführung werden kann. In der Standardkonfiguration von Forminator werden hochgeladene Dateien in einem Verzeichnis gespeichert, das eine .htaccess-Datei enthält, die PHP-Ausführung verhindern soll.
Administratoren können jedoch ein benutzerdefiniertes Verzeichnis für die Dateispeicherung konfigurieren. Wordfence stellte fest, dass dieses benutzerdefinierte Verzeichnis ohne denselben .htaccess-Schutz erstellt werden kann, da es möglicherweise während einer Frontend-Anfrage initialisiert wird, bei der der für die Erstellung der Schutzdatei verantwortliche WordPress-Helfer nicht verfügbar ist. In dieser Konfiguration kann einfach das Abrufen der böswillig hochgeladenen PHP-Datei dazu führen, dass der Webserver den Code des Angreifers ausführt.
Die wichtigsten Details zu CVE-2026-15748 betreffen daher sowohl das anfällige Formulardesign als auch die Konfiguration des Upload-Speichers. Eine Website mit dem betroffenen Plugin ist nicht automatisch durch die demonstrierte RCE-Kette ausnutzbar, es sei denn, die erforderlichen Datei-Upload- und Auswahlfelder sind vorhanden, während benutzerdefinierter Upload-Speicher die Konsequenzen eines erfolgreichen Datei-Uploads erheblich erhöhen kann.
Sobald eine PHP-Ausführung erzielt wird, könnte ein Angreifer eine Web-Shell bereitstellen und verwenden, um die WordPress-Installation zu übernehmen. Abhängig von den Serverberechtigungen und der Hosting-Architektur könnte dies die Modifizierung von Website-Inhalten, den Diebstahl von Zugangsdaten, den Datenbankzugriff, die Verbreitung von Malware, die Erstellung von Administratoraccounts, Persistenz oder weitere Bewegungen in die zugrunde liegende Hosting-Umgebung ermöglichen. Wordfence warnt ausdrücklich davor, dass Schwachstellen beim Hochladen beliebiger Dateien dieser Art zur vollständigen Kompromittierung der Website führen können.
Die Schwachstelle wurde vom Sicherheitsforscher daroo entdeckt und über das Wordfence Bug Bounty Program gemeldet. Wordfence erhielt die erste Meldung am 11. Juli 2026, bestätigte das Problem und verifizierte den CVE-2026-15748-Proof of Concept am 14. Juli und übermittelte noch am selben Tag vollständige technische Details an das Forminator-Entwicklungsteam.
Der Entwickler erkannte die Schwachstelle am 20. Juli an und reichte einen Patch zur Überprüfung ein. Die Forminator-Version 1.56.2 mit dem vollständigen Sicherheitsfix wurde am 31. Juli 2026 veröffentlicht. Die Schwachstelle wurde von Wordfence Mitte August öffentlich detailliert.
Zum Zeitpunkt der Offenlegung gab es keine Berichte über aktive Ausnutzung in freier Wildbahn. CISA’s Anreicherung von Verwundbarkeit-Informationen listete die Ausnutzung am 18. August ebenfalls als „keine“ auf, obwohl sie die Ausnutzung als automatisierbar und die potenziellen technischen Auswirkungen als vollständig einstuften.
Derzeit liegen keine kampagnenspezifischen CVE-2026-15748-IOCs wie angreifer-kontrollierte IP-Adressen, Domains oder Malware-Hashes aus der zitierten Forschung vor. Organisationen sollten sich daher auf verhaltensbezogene Hinweise, verdächtige Uploads, PHP-Dateien in Upload-Verzeichnissen und unerwartete serverseitige Ausführungen konzentrieren, anstatt sich ausschließlich auf statische Indikatoren zu verlassen.
CVE-2026-15748 Minderung
Website-Administratoren sollten das Forminator Forms sofort auf Version 1.56.2 oder neuer aktualisieren. Die gepatchte Version wurde am 31. Juli 2026 veröffentlicht und behebt vollständig die von Wordfence beschriebene Schwachstelle für das Hochladen beliebiger Dateien.
Die Erkennung von CVE-2026-15748 sollte mit der Identifizierung von WordPress-Installationen beginnen, die Forminator ausführen und deren genaue Plugin-Version ermitteln. Websites, die Version 1.56.1 oder früher verwenden, sollten als anfällig betrachtet und für das Patchen priorisiert werden, insbesondere wenn öffentliche Formulare sowohl Auswahl- als auch Datei-Upload-Felder enthalten.
Administratoren sollten auch die Konfiguration des Dateispeichers von Forminator prüfen. Websites, die einen benutzerdefinierten Upload-Speicher verwenden, verdienen zusätzliche Aufmerksamkeit, da das Verzeichnis möglicherweise nicht den .htaccess-Schutz enthält, der normalerweise das Ausführen von hochgeladenen PHP-Dateien verhindert.
Um Versuche der Ausnutzung von CVE-2026-15748 zu erkennen, sollten Sicherheitsteams WordPress-, Webserver-, WAF- und Dateisystem-Telemetrie für Aktivitäten wie überprüfen:
- Unerwartete .php-, .phtml- oder andere ausführbare Dateien in Forminator-Upload-Verzeichnissen
- Formularübermittlungen, die ungewöhnliche verschachtelte Daten enthalten, die mit Auswahlfeldern verbunden sind
- Verdächtige MIME-Typ- oder Erweiterungsmuster, die an die Datei-Upload-Funktion übermittelt werden
- Direkte HTTP-Anfragen an kürzlich hochgeladene PHP-Dateien
- Neue oder geänderte WordPress-Administratoraccounts nach verdächtigen Formularübermittlungen
- Unerwartete ausgehende Verbindungen, die vom PHP- oder Webserver-Prozess initiiert werden
- Web-Shells, verschleierter PHP-Code oder unbekannte Dateien, die unter WordPress-Inhaltsverzeichnissen erscheinen
- Unerklärte Modifikationen an Themes, Plugins, Konfigurationsdateien oder Datenbanksätzen
Da diese Verhaltensweisen legitime oder nicht verwandte Ursachen haben können, sollten sie mit Forminator-Versionsinformationen und verdächtigen Formularübermittlungsaktivitäten korreliert werden, bevor sie als Bestätigung der Kompromittierung behandelt werden.
Organisationen sollten auch historische Protokolle vor dem Update überprüfen. Die Installation von Version 1.56.2 verhindert zukünftige Ausnutzung, entfernt jedoch keine böswilligen Dateien oder Persistenzmechanismen, die möglicherweise bereits auf dem Server platziert wurden.
Wenn Hinweise auf eine Ausnutzung entdeckt werden, sollten Vorfallreaktionsteams Web- und Anwendung-Protokolle bewahren, hochgeladene Payloads identifizieren, das Dateisystem auf Web-Shells und Persistenzmechanismen überprüfen, Administratoraccounts und API-Anmeldeinformationen überprüfen, exponierte WordPress- und Datenbank-Geheimnisse rotieren und die Integrität von Core-WordPress-, Plugin- und Theme-Dateien überprüfen.
Wordfence gibt an, dass der integrierte Schutz vor böswilligem Dateiupload seiner Firewall Versuche blockiert, die auf diese Schwachstelle abzielen, sowohl für kostenpflichtige als auch für kostenlose Benutzer. Eine Web Application Firewall sollte jedoch als zusätzliche Verteidigungsschicht betrachtet werden und nicht als Ersatz für die Aktualisierung des anfälligen Plugins.
Angesichts der 9.8-Schwere der Schwachstelle, dem Fehlen von Authentifizierungsanforderungen, der potenziell automatisierbaren Ausnutzung und der großen Anzahl von Installationen sollte die Minderung von CVE-2026-15748 als vorrangige Maßnahme für Organisationen behandelt werden, die Internet-WordPress-Websites betreiben.
FAQ
Was ist CVE-2026-15748 und wie funktioniert es?
CVE-2026-15748 ist eine kritische Schwachstelle für das Hochladen beliebiger Dateien im WordPress-Plugin Forminator Forms. Ein nicht authentifizierter Angreifer kann ein Formular mit sowohl einem Auswahlfeld als auch einem Datei-Upload-Feld manipulieren, gefälschte Upload-Konfigurationsdaten einfügen, die gefährliche Erweiterungsfilterung des Plugins umgehen und eine ausführbare PHP-Datei hochladen. Unter anfälligen Speicherkonfigurationen kann das Anfordern dieser Datei zur Ausführung von Remote-Code führen.
Wann wurde CVE-2026-15748 erstmals entdeckt?
Wordfence erhielt die anfängliche Schwachstellenmeldung des Forschers am 11. Juli 2026 und validierte die Ausnutzung am 14. Juli. Das Forminator-Team erhielt die Offenlegung am 14. Juli, erkannte sie am 20. Juli an und veröffentlichte die vollständig gepatchte Forminator 1.56.2 am 31. Juli 2026.
Welche Auswirkungen hat CVE-2026-15748 auf Systeme?
Eine erfolgreiche Ausnutzung kann es einem Angreifer ohne Konto auf der Website ermöglichen, ausführbaren PHP-Code hochzuladen. Wenn der Server die Ausführung aus dem betroffenen Upload-Verzeichnis erlaubt, kann der Angreifer möglicherweise die Ausführung von Remote-Code erlangen und die vollständige Kontrolle über die WordPress-Site übernehmen.
Kann CVE-2026-15748 mich 2026 noch betreffen?
Ja. Jede Website, die noch Forminator 1.56.1 oder eine frühere Version ausführt, könnte weiterhin anfällig sein, wenn die erforderliche Formularkonfiguration vorhanden ist. SecurityWeek schätzte, dass mehr als 300.000 Installationen potenziell exponiert waren, als die Schwachstelle öffentlich bekannt wurde.
Wie kann ich mich vor CVE-2026-15748 schützen?
Aktualisieren Sie Forminator Forms sofort auf Version 1.56.2 oder neuer. Administratoren sollten auch benutzerdefinierte Upload-Verzeichnisse prüfen, historische Formular- und Webserverprotokolle untersuchen, nach unerwarteten ausführbaren Dateien suchen und verdächtige Aktivitäten untersuchen, die vor dem Patch des Plugins auftraten.
