Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Berechtigungserhöhung im WordPress-Theme Jawn
Das WordPress-Theme Jawn ist bis einschließlich Version 1.4.2 anfällig für eine Berechtigungserhöhung. Unauthentifizierte Angreifer können ihre Rechte auf Administrator-Ebene anheben. Ab Version 1.4.3 ist die Schwachstelle behoben.
- Priorität: Hoch (kritisch (CVSS 9.8))
- Datum: 25.08.2026
- CVE: CVE-2026-78477
- Für wen relevant: Unternehmen, die das WordPress-Theme Jawn einsetzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte so die Kontrolle über die gesamte WordPress-Installation übernehmen.
- Quelle: NVD
WordPress Total Donations – mehrere Stellen betroffen
Bei WordPress Total Donations sind mehrere sicherheitsrelevante Schwachstellen gemeldet:
1. SQL-Injection im WordPress-Plugin Total Donations
Das WordPress-Plugin Total Donations bis Version 2.0.5 ist anfällig für SQL-Injection. Durch unzureichende Bereinigung von Benutzereingaben und fehlende Vorbereitung der SQL-Abfragen können Angreifer zusätzliche Abfragen anhängen. Dadurch lassen sich sensible Daten aus der Datenbank extrahieren. Ab Version 2.0.6 ist die Lücke geschlossen.
- Priorität: Hoch (kritisch (CVSS 9.8))
- Datum: 25.08.2026
- CVE: CVE-2026-78568
- Für wen relevant: Betreiber von WordPress-Websites mit installiertem Plugin Total Donations. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte so vertrauliche Daten aus der Datenbank auslesen.
- Quelle: NVD
2. Berechtigungserhöhung im WordPress-Plugin Total Donations
Das WordPress-Plugin Total Donations bis Version 2.0.5 ist anfällig für eine Berechtigungserhöhung. Unauthentifizierte Angreifer können ihre Rechte auf Administrator-Ebene anheben. Ab Version 2.0.6 ist die Schwachstelle behoben.
- Priorität: Hoch (kritisch (CVSS 9.8))
- Datum: 25.08.2026
- CVE: CVE-2026-78570
- Für wen relevant: Betreiber von WordPress-Websites mit installiertem Plugin Total Donations. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte so die Kontrolle über die gesamte WordPress-Installation übernehmen.
- Quelle: NVD
Eingeschränkter Dateiupload im WordPress-Plugin CM Map Locations
Das WordPress-Plugin CM Map Locations bis Version 2.1.8 ist anfällig für eingeschränkten willkürlichen Dateiupload. Durch unvollständige Dateityp-Validierung und fehlende MIME-Prüfung können Angreifer mit Subscriber-Zugriff oder höher Dateien hochladen, die ausführbar sind. Ab Version 2.1.9 ist die Schwachstelle behoben.
- Priorität: Erhöht (hoch (CVSS 8.8))
- Datum: 25.08.2026
- CVE: CVE-2026-16601
- Für wen relevant: Betreiber von WordPress-Websites mit installiertem Plugin CM Map Locations. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte so schädliche Dateien hochladen und Code auf dem Server ausführen.
- Quelle: NVD
SQL-Injection im WordPress-Plugin All-in-One WP Migration
Das WordPress-Plugin All-in-One WP Migration bis Version 7.109 ist anfällig für SQL-Injection über die Archiv-Wiederherstellungsfunktion. Durch unzureichende Bereinigung von Benutzereingaben und fehlende Vorbereitung der SQL-Abfragen können Angreifer zusätzliche Abfragen anhängen. Dadurch lassen sich sensible Daten aus der Datenbank extrahieren. Der Angriff ermöglicht zudem das Auslesen des ai1wm_secret_key, was bei einer späteren Wiederherstellung durch einen Administrator zu Code-Ausführung führen kann. Ab Version 7.110 ist die Lücke geschlossen.
- Priorität: Erhöht (hoch (CVSS 8.8))
- Datum: 25.08.2026
- CVE: CVE-2026-19949
- Für wen relevant: Betreiber von WordPress-Websites mit installiertem Plugin All-in-One WP Migration. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte so vertrauliche Daten aus der Datenbank auslesen oder Code ausführen.
- Quelle: NVD
Lokale Dateieinschleusung im WordPress-Plugin Verdure Core
Das WordPress-Plugin Verdure Core bis Version 1.2 ist anfällig für lokale Dateieinschleusung. Unauthentifizierte Angreifer können beliebige Dateien auf dem Server einbinden und ausführen. Dadurch lassen sich PHP-Code in diesen Dateien ausführen, Zugriffskontrollen umgehen oder sensible Daten abrufen. Ab Version 1.3 ist die Schwachstelle behoben.
- Priorität: Erhöht (hoch (CVSS 8.1))
- Datum: 25.08.2026
- CVE: CVE-2026-78562
- Für wen relevant: Betreiber von WordPress-Websites mit installiertem Plugin Verdure Core. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte so beliebigen Code auf dem Server ausführen oder Daten auslesen.
- Quelle: NVD
Lokale Dateieinschleusung im WordPress-Theme Shuffle
Das WordPress-Theme Shuffle bis Version 1.8 ist anfällig für lokale Dateieinschleusung. Unauthentifizierte Angreifer können beliebige Dateien auf dem Server einbinden und ausführen. Dadurch lassen sich PHP-Code in diesen Dateien ausführen, Zugriffskontrollen umgehen oder sensible Daten abrufen. Ab Version 1.9 ist die Schwachstelle behoben.
- Priorität: Erhöht (hoch (CVSS 8.1))
- Datum: 25.08.2026
- CVE: CVE-2026-78566
- Für wen relevant: Unternehmen, die das WordPress-Theme Shuffle einsetzen. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte so beliebigen Code auf dem Server ausführen oder Daten auslesen.
- Quelle: NVD
Code-Ausführung in Adminer durch manipulierte Serverdaten
Adminer vor Version 5.4.3 bereinigt das Serverfeld nicht ausreichend, bevor eine PDO-DSN-Zeichenkette erstellt wird. Unauthentifizierte Angreifer können so ODBC-Parameter einschleusen. Durch die Nutzung von TraceFile und TraceOn lassen sich PHP-Code in das Web-Root schreiben, was bei Zugriff auf die Trace-Datei zur Code-Ausführung führt. Ab Version 5.4.3 ist die Lücke geschlossen.
- Priorität: Hoch (kritisch (CVSS 9.3))
- Datum: 25.08.2026
- CVE: CVE-2026-56705
- Für wen relevant: Betreiber von Webanwendungen, die Adminer zur Datenbankverwaltung nutzen. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte so beliebigen Code auf dem Server ausführen.
- Quelle: NVD
Code-Injection in Gitea durch manipulierte Patches
Gitea enthält eine Code-Injection-Schwachstelle. Angreifer mit Schreibzugriff auf ein Repository können über die diffpatch-API einen schädlichen Patch einsenden. Dadurch lässt sich ein ausführbarer Git-Hook platzieren, der Shell-Befehle im Kontext des Gitea-Dienstkontos ausführt. Betroffen sind alle Versionen vor der noch nicht veröffentlichten Korrektur.
- Priorität: Sofort handeln (aktiv ausgenutzt / KEV)
- Datum: 25.08.2026
- CVE: CVE-2026-60004
- Für wen relevant: Betreiber von Gitea-Installationen, die Repository-Schreibrechte verwalten. (für KMU: kritisch – nur für Betroffene)
- Warum wichtig: Ein Angreifer könnte so Befehle auf dem Server ausführen und die Integrität des Systems gefährden.
- Quelle: CISA KEV
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
