Duplicator: Lücke im Backup-Plugin, jetzt aktualisieren

Im beliebten Backup- und Umzugs-Plugin Duplicator steckt eine Sicherheitslücke, die laut Wordfence jeder Besucher ohne Login versuchen könnte. Betroffen sind Duplicator bis Version 1.5.17 und Duplicator Pro bis 4.6.10. Prüfe deine Version und aktualisiere auf 5.0.0 oder neuer. Aktuell ist 5.0.6. Sechs weitere Plugins haben ebenfalls Updates bekommen.

Duplicator: Backup-Plugin lässt Fremde manipulierte Daten einschleusen

Worum geht’s: Duplicator ist das Plugin für Backups und den Umzug deiner Website. Laut wordpress.org läuft es auf rund einer Million Seiten. Fremde können präparierte Daten an die Seite schicken, die diese fälschlich als vertrauenswürdig verarbeitet (Fachbegriff: PHP-Objekt-Injektion). Die Lücke trägt die Kennung CVE-2026-82814. Patchstack hat sie am 21. Oktober 2026 veröffentlicht.

Bist du betroffen: Ja, wenn du Duplicator bis 1.5.17 oder Duplicator Pro bis 4.6.10 einsetzt. Ein Login ist nicht nötig, jeder Besucher deiner Seite könnte es versuchen. Laut Bewertung muss allerdings irgendein Nutzer mitwirken. Wordfence stuft die Lücke als ernst ein (CVSS 8.8), Patchstack sogar als sehr ernst (CVSS 9.8). Behoben ist sie ab Version 5.0.0. Seit dieser Version erscheinen Pro und Lite in einem gemeinsamen Release.

Was deiner Website passieren kann:

• Im schlimmsten Fall übernehmen Fremde die Kontrolle über deine Seite. Die Bewertung nennt hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
• Inhalte und Daten aus deiner Datenbank könnten nach außen gelangen. Bei Kundendaten kann dann eine DSGVO-Meldepflicht greifen.
• Deine Seite könnte Fehler zeigen oder ganz ausfallen.
• Wird die Seite für Spam oder Malware missbraucht, kann der Hoster sie sperren.

Wie dringend: Sofort. Die Lücke ist ernst bis sehr ernst, kommt ohne Login aus und ist seit Version 5.0.0 behoben.

Das solltest du tun:

• Erstelle ein Backup und prüfe unter Plugins, welche Duplicator-Version läuft.
• Aktualisiere auf 5.0.0 oder neuer, am besten auf die aktuelle 5.0.6. Duplicator Pro gehört ebenfalls auf die 5.0.0-Linie oder neuer.
• Lösche Duplicator, wenn du es nicht mehr brauchst, statt es nur zu deaktivieren.

Ebenfalls diese Woche

weForms ist ein Plugin für Kontaktformulare. Laut Patchstack kann ohne Login jemand beliebige Dateien auf deinem Server löschen. Version 1.6.29 ist sicher. Im schlimmsten Fall zeigt die Seite nur noch Fehler oder den Einrichtungsbildschirm, und hochgeladene Dateien sind weg. Die Lücke wurde mit CVSS 7.5 als ernst bewertet. Dringlichkeit: Sofort.

VikRentCar ist das Buchungsplugin für Autovermietungen. Die Lücke lässt sich durch einen Trick ausnutzen: Jemand bringt einen Nutzer dazu, eine präparierte Seite zu öffnen oder einen Link anzuklicken, und löst damit ungewollt Aktionen auf deiner Seite aus (Fachbegriff: Cross-Site-Request-Forgery). Das ist ernst (CVSS 8.8). Welche Rechte der Nutzer dafür haben muss, sagen die Quellen nicht. Version 1.4.9 ist sicher. Im schlimmsten Fall ändern sich Einstellungen oder Buchungsdaten ohne dein Wissen, oder es entstehen neue Admin-Konten. Dringlichkeit: Sofort.

Ninja Forms ist das Plugin für Formulare mit rund 500.000 Installationen. Fremde können ohne Login Schadcode ablegen, der später im Browser eines Nutzers läuft (Fachbegriff: Cross-Site-Scripting). Dafür muss dieser Nutzer mitwirken, etwa die betroffenen Inhalte aufrufen. Die Einstufung ist ernst (CVSS 7.1), Version 3.15.6 ist sicher. Besucher könnten auf Betrugsseiten landen. Öffnet ein Admin die präparierte Stelle, könnte sein Zugang übernommen werden. Hinweise auf Angriffe gibt es laut CISA-Einstufung bisher nicht. Dringlichkeit: Sofort.

SureCart ist das Shop-Plugin für Produkte, Downloads und Abos. Es hat die gleiche Art von Lücke, ernst (CVSS 7.1), ohne Login auslösbar. Laut Patchstack muss ein Nutzer mit erweiterten Rechten etwas anklicken. Version 4.9.6 ist sicher, aktuell ist 4.10.0. Im schlimmsten Fall werden Kunden auf Betrugsseiten umgeleitet oder ein Shop-Admin verliert seinen Zugang. Dringlichkeit: Sofort.

Simply Schedule Appointments ist das Plugin für Terminbuchungen. Auch hier geht es um Schadcode im Browser, ernst (CVSS 7.1), ohne Login auslösbar. Ein Nutzer muss etwas anklicken. Version 1.6.12.37 ist sicher. Im schlimmsten Fall könnten Termine und Kundendaten in falsche Hände geraten oder Besucher umgeleitet werden. Dringlichkeit: Sofort.

Strong Testimonials ist das Plugin für Kundenbewertungen auf der Website. Es hat dieselbe Art von Lücke, ernst (CVSS 7.1), ohne Login auslösbar. Ab Version 3.3.13 ist sie behoben, aktuell ist 3.3.15. Im schlimmsten Fall werden Besucher auf Betrugsseiten geleitet oder ein Admin-Zugang übernommen. Dringlichkeit: Sofort.

Was du jetzt tun solltest

• Lege ein vollständiges Backup an, bevor du etwas aktualisierst.
• Aktualisiere in dieser Reihenfolge: Duplicator, weForms, VikRentCar, Ninja Forms, SureCart, Simply Schedule Appointments, Strong Testimonials.
• Lösche Plugins, die du nicht nutzt, statt sie nur zu deaktivieren.
• Schau unter Benutzer nach Admin-Konten, die du nicht kennst, und entferne sie.
• Prüfe danach, ob Formulare, Buchungen und der Shop noch funktionieren.

Was noch offen ist

Bei Duplicator ist nicht abschließend geklärt, welche Versionen zwischen den Angaben für Lite und Pro betroffen sind. Wordfence nennt „unter 5.0.0“, andere Angaben nur Lite bis 1.5.17. Einen Hinweis des Herstellers hat Patchstack nicht gefunden. Berichte über Angriffe liegen bei keiner der Lücken vor. Das heißt nicht, dass es sie nicht gibt.

Quellen

• Wordfence: Duplicator
• Patchstack: Duplicator
• Patchstack: Duplicator Pro
• wordpress.org: Duplicator
• Duplicator-Changelog
• CVE-2026-82814
• CVE-2026-110899 (Ninja Forms)
• wordpress.org: Ninja Forms
• Patchstack: SureCart
• wordpress.org: SureCart
• CVE-2026-107435 (Strong Testimonials)
• wordpress.org: Strong Testimonials
• CVE-2026-112836 (VikRentCar)
• wordpress.org: VikRentCar
• Patchstack: weForms
• wordpress.org: weForms
• Patchstack: Simply Schedule Appointments
• wordpress.org: Simply Schedule Appointments