Duplicator: Sicherheitslücke beim Umzug von WordPress-Shops
Duplicator 5.0.0 schließt eine Sicherheitslücke beim Website-Umzug, doch ältere Sicherungspakete behalten ihren verwundbaren Installer.
Die am 8. September 2026 veröffentlichte Version 5.0.0 von Duplicator schließt eine Sicherheitslücke beim Umzug von WordPress-Websites. Betroffen sind Duplicator Free bis einschließlich 1.5.17 und Duplicator Pro bis einschließlich 4.6.10. Betreiber von WooCommerce-Shops, die eines dieser Plugins für Sicherungen oder Umzüge verwenden, sollten auf Version 5.0.0 oder neuer aktualisieren.
Wordfence veröffentlichte die Details am 20. Oktober 2026. Die Schwachstelle trägt die Kennung CVE-2026-82814 und ist mit 8,8 von 10 Punkten im Bewertungssystem CVSS als hohes Risiko eingestuft.
Der Angriff wird erst beim Umzug wirksam
Angreifer ohne Benutzerkonto können präparierte Daten in einem WordPress-Kommentar hinterlegen. Auch ein noch nicht freigegebener Kommentar kann anschließend in ein Sicherungspaket gelangen. Wird dieses Paket später für einen regulären Umzug oder Import eingesetzt, kann das enthaltene Installationsprogramm die Daten als PHP-Objekt verarbeiten und dadurch unerwünschte Aktionen auslösen. Das bloße Speichern des Kommentars oder Erstellen einer Sicherung löst den Angriff nicht aus.
Bei Duplicator Free kann dieser Ablauf zur Ausführung von Betriebssystembefehlen führen. Bei Duplicator Pro ist das Löschen von Dateien möglich. Wird dabei die WordPress-Konfigurationsdatei gelöscht, kann unter weiteren Voraussetzungen eine Übernahme der Website folgen.
Ein Plugin-Update ersetzt nicht die Installationsprogramme in bereits erstellten Paketen. Ältere Archive sind durch ihre bloße Aufbewahrung nicht gefährlich, können bei einem regulären Umzug oder Import aber weiterhin den verwundbaren Code ausführen. Für die untersuchten Wiederherstellungsmodi wurde dieser Angriffsweg nicht nachgewiesen. Kommentarfreigaben bieten keinen ausreichenden Schutz.
Was das für Ihren Shop bedeutet
Wenn Sie Buchungen, Abos, B2B-Preise oder eine Warenwirtschaftsanbindung betreiben, betrifft die Meldung Ihren Shop, sofern Sie eine betroffene Duplicator-Version einsetzen. Aktualisieren Sie das Plugin auf mindestens Version 5.0.0. Erstellen Sie vor einem regulären Umzug oder Import nach Möglichkeit ein neues Paket mit der aktualisierten Version, statt sich allein auf das Plugin-Update zu verlassen. Entfernen Sie außerdem öffentlich erreichbare, eigenständige Installationsdateien, die Sie nicht mehr benötigen; ältere Sicherungspakete müssen Sie nicht allein wegen dieser Lücke löschen.