Backuply: Sicherheitsupdate schließt Lücke bei der Wiederherstellung
Backuply 1.5.9 behebt eine Sicherheitslücke, über die Angreifer nach dem Wiederherstellen einer Datenbanksicherung Administratorrechte erlangen können.
Das WordPress-Plugin Backuply schließt mit Version 1.5.9 eine Sicherheitslücke in der Wiederherstellung von Datenbanksicherungen. Betroffen sind alle Versionen bis einschließlich 1.5.8. Betreiber von WooCommerce-Shops, die Backuply einsetzen, sollten das Plugin möglichst schnell auf die korrigierte Version aktualisieren.
Backuply dient zum Sichern, Wiederherstellen, Umziehen und Kopieren von WordPress-Websites und hat laut Wordfence mehr als 600.000 aktive Installationen. Die Schwachstelle trägt die Kennung CVE-2026-93953. Ihre Schwere wird mit 8,0 auf der CVSS-Skala als hoch eingestuft. Die abgesicherte Version erschien am 1. Oktober 2026.
Schadcode wird erst beim Wiederherstellen ausgeführt
Für einen Angriff ist ein angemeldetes Benutzerkonto mit mindestens Abonnentenrechten erforderlich. Angreifer können präparierten Text im Biografie-Feld ihres Benutzerprofils hinterlegen. Dieser gelangt anschließend in eine Datenbanksicherung. Gefährlich wird er erst, wenn ein Administrator diese Sicherung mit einer verwundbaren Backuply-Version wiederherstellt.
Die Lücke ist eine sogenannte Second-Order-SQL-Injection: Manipulierte Eingaben werden zunächst gespeichert und erst bei einer späteren Verarbeitung als Datenbankbefehle ausgeführt. Dadurch lassen sich die öffentliche Benutzerregistrierung einschalten und Administratorrechte als Standard für neue Konten festlegen. Ein anschließend registriertes Konto kann so die vollständige Kontrolle über die Website erhalten. Allein das Anlegen der Sicherung löst den Angriff noch nicht aus.
Wordfence hat für Premium, Care und Response bereits am 24. September 2026 eine Firewall-Regel gegen bekannte Angriffe bereitgestellt. Für die kostenlose Ausgabe ist diese Schutzregel für den 24. Oktober 2026 angekündigt. Die Empfehlung zum Plugin-Update gilt unabhängig davon.
Was das für Ihren Shop bedeutet
Für Betreiber von WooCommerce-Shops, die Backuply einsetzen, ist die Aktualisierung auf Version 1.5.9 besonders wichtig. Die Sicherheitslücke betrifft nicht die Erstellung von Backups, sondern deren Wiederherstellung. Gerade dieser Vorgang wird häufig durchgeführt, wenn eine Website nach einem technischen Problem wiederhergestellt oder auf einen anderen Server umgezogen werden muss.
Buchungs- und Abo-Shops sind bei einer möglichen Übernahme der Website besonders gefährdet. Angreifer könnten auf Kundendaten, bestehende Buchungen und laufende Abonnements zugreifen oder wichtige Shop-Funktionen manipulieren. Im schlimmsten Fall werden Buchungen und wiederkehrende Bestellungen unterbrochen.
B2B-Shops verarbeiten häufig sensible Geschäftskundendaten, individuelle Preisvereinbarungen und Bestellhistorien. Eine vollständige Übernahme der Website könnte diese Informationen gefährden und unberechtigte Änderungen an Kundenkonten, Preisen oder Bestellungen ermöglichen.
Shops mit Warenwirtschafts-Anbindung sollten zusätzlich berücksichtigen, dass eine kompromittierte WordPress-Installation auch verbundene Systeme gefährden kann. Je nach Integration könnten Angreifer auf gespeicherte Zugangsdaten oder API-Schlüssel zugreifen und darüber weitere Systeme oder Geschäftsprozesse beeinflussen.
Grundsätzlich gilt: Betreiber sollten Backuply auf die abgesicherte Version 1.5.9 aktualisieren, bevor sie Datenbanksicherungen wiederherstellen. Darüber hinaus empfiehlt es sich, bestehende Benutzerkonten und deren Berechtigungen regelmäßig zu überprüfen. Auch eine aktive Firewall ersetzt das Sicherheitsupdate nicht.