All-in-One WP Migration: Sicherheitslücke kann über manipulierte Archive bis zur Codeausführung führen

Wetter - Berlin 9°C

All-in-One WP Migration: Sicherheitslücke kann über manipulierte Archive bis zur Codeausführung führen

TECHNIK 03.09.2026

All-in-One WP Migration: Sicherheitslücke kann über manipulierte Archive bis zur Codeausführung führen

Im weit verbreiteten WordPress-Plug-in All-in-One WP Migration and Backup ist eine Sicherheitslücke geschlossen worden. Betroffen sind Versionen bis einschließlich 7.109; Version 7.110 enthält die Korrektur.

Textgröße ändern:

Administratoren von WordPress-Websites sollten das Plug-in All-in-One WP Migration and Backup auf Version 7.110 oder neuer aktualisieren. Eine als hoch eingestufte Schwachstelle kann unter bestimmten Bedingungen über die Wiederherstellung eines manipulierten Archivs zur Ausführung von Schadcode auf dem Server führen.

Die Lücke wird als CVE-2026-19949 geführt und mit einem CVSS-Wert von 8,8 bewertet. Technisch handelt es sich um eine sogenannte Second-Order-SQL-Injection. Dabei wird eine schädliche Eingabe zunächst in einem Archiv platziert und erst später aktiv, wenn ein Administrator dieses Archiv über die Wiederherstellungsfunktion verarbeitet.

Durch unzureichendes Escaping und eine nicht ausreichend vorbereitete SQL-Abfrage können zusätzliche Datenbankbefehle eingeschleust werden. Sicherheitsforscher beschreiben als mögliches Angriffsziel den internen Schlüssel „ai1wm_secret_key“. Gelangt dieser in die Hände eines Angreifers, kann er für weitere Zugriffe auf Restore-Funktionen missbraucht werden und schließlich eine entfernte Codeausführung ermöglichen.

Die Schwachstelle betrifft Version 7.109 und älter. Der Hersteller ServMask veröffentlichte am 20. August 2026 die korrigierte Version 7.110. Das Plug-in kommt nach Angaben einschlägiger Sicherheitsdatenbanken auf rund fünf Millionen aktiven WordPress-Installationen.

Der Angriff setzt voraus, dass ein entsprechend präpariertes Archiv tatsächlich von einem Administrator wiederhergestellt wird. Betreiber sollten deshalb nicht nur aktualisieren, sondern auch keine Archive aus unbekannten oder nicht vertrauenswürdigen Quellen importieren. Für bereits mit einer älteren Version eingespielte Fremdarchive empfiehlt sich eine Kontrolle auf verdächtige Nutzerkonten, neue PHP-Dateien und andere Hinweise auf Manipulation.

(T.W.Lukyanenko--DTZ)

Kehlsteinhaus am Obersalzberg abgebrannt: Verdächtiger festgenommen

Das für Adolf Hitler gebaute Kehlsteinhaus im früheren Nazi-Sperrgebiet Obersalzberg in Berchtesgaden ist niedergebrannt. Die Ermittler gehen von Brandstiftung aus. Ein 33-jähriger Verdächtiger wurde festgenommen und soll in einer Psychiatrie untergebracht werden, wie die Staatsanwaltschaft mitteilte. Die Löscharbeiten gestalteten sich aufgrund des in rund 1800 Metern Höhe liegenden Brandorts und des Wetters als äußerst schwierig, sie dauerten am Samstagnachmittag noch an. Verletzt wurde aber niemand.

GA-ASI geht Partnerschaft mit Spirit Defense zur Produktion des FQ-42-CCA ein

SAN DIEGO, KALIFORNIEN / ACCESS Newswire / 23. Oktober 2026 / General Atomics Aeronautical Systems, Inc. (GA-ASI), der weltweit führende Anbieter von unbemannten Flugsystemen (UAS), gibt heute seine Partnerschaft mit Spirit Defense, einem Unternehmen der Boeing Company, bekannt, um die Produktion der Flugzeugzelle des neuen Collaborative Combat Aircraft (CCA) vom Typ FQ-42 Vengeance zu unterstützen. Im Juni erhielt GA-ASI von der U.S. Air Force (USAF) den Auftrag zur Produktion des FQ-42. In seiner Rolle als Partner für die Konstruktion und den Bau des Rumpfs bündelt Spirit Defense seine Kompetenzen in den Bereichen Engineering und fortschrittliche Fertigung, um das Programm vom Entwurf bis zur Produktion zu unterstützen.

Meta fährt im dritten Quartal Gewinn ein - Belastung aber durch Rechtsstreitigkeiten

Der US-Tech-Konzern Meta hat im dritten Quartal einen deutlichen Gewinn eingefahren und damit die Erwartungen der Analysten übertroffen. Der Nettoerlös der Facebook-Mutter lag zwischen Juli und September überraschend bei 9,86 Milliarden Dollar (8,78 Milliarden Euro), wie das Unternehmen von Mark Zuckerberg am Mittwoch mitteilte. Allerdings wird das Plus demnach von einer hohen Rückstellung von 9,9 Milliarden Dollar wegen Rechtsstreitigkeiten belastet.

P&G, Nestlé, Mars, AstraZeneca, ITC und Bekaert gewinnen die OMP Supply Chain Awards

Die Auszeichnungen würdigen Innovationen in der Supply Chain, langfristige Partnerschaften und Community-Engagement im Rahmen der OMP-Konferenzen in Singapur und Shanghai

Textgröße ändern:

Deutsche Tageszeitung - All-in-One WP Migration: Sicherheitslücke kann über manipulierte Archive bis zur Codeausführung führen