Elementor-Pro-Lücke: Ist meine WordPress-Seite gefährdet?
⚠ Sicherheitswarnung
Im weit verbreiteten WordPress-Plug-in Elementor Pro (über 6 Millionen Installationen) steckt eine kritische Sicherheitslücke (CVE-2026-32475, CVSS 9,8): Angreifer können ohne Anmeldung ausführbare PHP-Dateien hochladen und darüber die komplette Website übernehmen. Es genügt ein veröffentlichtes Elementor-Formular mit einem Datei-Upload-Feld. Betroffen sind alle Versionen bis einschließlich 4.2.1 – behoben ist es ab 4.2.2 (Update vom 19. August 2026). Wer Elementor Pro nutzt, sollte sofort aktualisieren.
Worum geht es bei der Lücke?
Das Problem liegt in der Prüfung von Datei-Uploads: Elementor Pro validiert hochgeladene Dateien fehlerhaft, sodass sich die Kontrolle umgehen lässt. Angreifer können so eine PHP-Datei einschleusen und auf dem Server ausführen – also praktisch die volle Kontrolle über die Seite erlangen (Remote Code Execution).
Besonders heikel: Der Angriff braucht keine Anmeldung. Es reicht, dass irgendwo auf der Website ein veröffentlichtes Elementor-Formular mit einem Datei-Upload-Feld existiert – das Feld muss nicht einmal ein Pflichtfeld sein.
Betroffene und sichere Versionen
| Angabe | |
|---|---|
| Betroffen | Elementor Pro bis einschließlich 4.2.1 |
| Sicher (gepatcht) | 4.2.2 oder neuer (19.08.2026) |
| Kritikalität | CVSS 9,8 / 10 – kritisch |
| Voraussetzung | veröffentlichtes Formular mit Datei-Upload-Feld |
| Verbreitung | über 6 Millionen Installationen |
Hinweis: Betroffen ist das kostenpflichtige Elementor Pro. Halte aber sicherheitshalber auch das kostenlose Elementor und alle weiteren Plug-ins aktuell.
Ist meine Seite betroffen?
Kurze Selbstprüfung – triffst du alle drei Punkte, solltest du sofort handeln:
- ✓Läuft deine Seite auf WordPress mit Elementor Pro?
- ✓Ist die Version älter als 4.2.2? (Version steht im Adminbereich unter „Plugins“.)
- ✓Gibt es irgendwo ein veröffentlichtes Elementor-Formular mit Datei-Upload?
Reicht das Update – oder muss ich mehr tun?
Das Update auf 4.2.2 schließt die Lücke, entfernt aber keinen Schadcode, der eventuell schon hochgeladen wurde. Wer nicht sofort nach Bekanntwerden aktualisiert hat, sollte die Seite zusätzlich prüfen lassen: auf fremde PHP-Dateien (vor allem im Uploads-Ordner), unbekannte Admin-Konten und auffällige Änderungen.
Ein Backup hilft nur, wenn es sicher aus der Zeit vor einer möglichen Infektion stammt – sonst spielt man eine Hintertür einfach wieder ein. Und ohne Update ist die Lücke sofort wieder offen.
Wir prüfen deine WordPress-Seite – für 80 € netto
Unsicher, ob deine Seite betroffen ist? Wir übernehmen die Prüfung: Wir kontrollieren, ob dein WordPress mit einer verwundbaren Elementor-Pro-Version läuft, und spielen bei Bedarf das schließende Update ein. Du erhältst eine klare Rückmeldung, ob Handlungsbedarf besteht. Eine forensische Suche nach bereits erfolgten Angriffen ist bewusst nicht Teil dieser Prüfung.
Prüfung deiner WordPress-Instanz auf diese Lücke inkl. Update für 80 € netto – ohne forensische Angriffssuche.
Häufige Fragen
Wie finde ich meine Elementor-Pro-Version?
Im WordPress-Adminbereich unter „Plugins“ steht die installierte Version neben Elementor Pro. Ist sie älter als 4.2.2, solltest du sofort aktualisieren.
Bin ich betroffen, wenn ich kein Upload-Formular habe?
Das Risiko besteht vor allem bei einem veröffentlichten Formular mit Datei-Upload-Feld. Trotzdem gilt: unbedingt aktualisieren – Formulare werden schnell mal ergänzt, und die aktuelle Version ist ohnehin die sichere Wahl.
Ich habe spät aktualisiert – reicht das?
Das Update schließt die Lücke, beseitigt aber keinen bereits eingeschleusten Schadcode. Wer nicht zeitnah aktualisiert hat, sollte die Seite zusätzlich auf einen Einbruch prüfen lassen.
Betrifft das auch das kostenlose Elementor?
Die kritische Lücke betrifft Elementor Pro. Halte dennoch alle Plug-ins – inklusive des kostenlosen Elementor – stets aktuell.