Ninja Forms ausgenutzt: Versteckte Admin-Konten, die ein Update nicht entfernt

Was im Oktober 2026 passiert ist

Am 6. Oktober 2026 hat der Sicherheitsanbieter Patchstack eine Angriffswelle auf WordPress-Websites beschrieben. Zuerst sah Patchstack die Schadsoftware am 4. Oktober 2026, eingeschleust über ein Shop-Plugin namens WPC Product Bundles for WooCommerce. Am Tag darauf, dem 5. Oktober 2026, kam dieselbe Nutzlast über eine Lücke in Ninja Forms. Das ist ein Plugin für Kontaktformulare, also eine Erweiterung, mit der eine WordPress-Website Anfragen von Besuchern entgegennimmt. Laut Plugin-Verzeichnis von WordPress hat es mehr als 500.000 aktive Installationen.

Die Lücke in Ninja Forms trägt die Kennung CVE-2026-94504. CVE-Kennungen sind öffentliche Nummern, unter denen Sicherheitslücken einheitlich geführt werden; der öffentliche Eintrag zu einer Kennung heißt CVE-Datensatz. Ein Angreifer braucht dafür kein Konto auf Ihrer Website. Er schickt das Formular ab wie jeder andere Besucher, nur steckt in seiner Eingabe ein Stück Programmcode. Gefährlich wird es, wenn ein Administrator diesen Eingang später im Verwaltungsbereich öffnet, und zwar in der älteren Bearbeitungsansicht von Ninja Forms. Dann legt der Code unter anderem ein neues Administratorkonto an und dazu ein zweites, das der Betreiber in der Benutzerliste nicht sehen kann.

Hat Ihre Firmenwebsite ein Kontaktformular, das eine Agentur auf WordPress gebaut hat? Dann lohnt eine Rückfrage. Die wichtigste Lehre aus diesem Fall passt in einen Satz: Das Update schließt die Lücke, aber es räumt nicht auf, was ein Angreifer vorher hinterlassen hat.

Wo die Lücke sitzt

Was über ein Kontaktformular hereinkommt, heißt bei Ninja Forms submission, auf Deutsch etwa Eingang. Im Backend, dem Verwaltungsbereich von WordPress, lassen sich diese Eingänge ansehen und bearbeiten. Dafür gibt es in Ninja Forms eine ältere Bearbeitungsansicht, im Original „legacy submission editor“.

In dieser Ansicht hat Ninja Forms bis einschließlich Version 3.15.3 den Inhalt eines bestimmten Feldtyps nicht ausreichend entschärft. Laut CVE-Datensatz geht es um ein mehrzeiliges Textfeld ohne Rich-Text-Editor, also ohne eingebaute Textformatierung. Fachleute sprechen von gespeichertem Cross-Site-Scripting: Jemand hinterlegt Skriptcode in einer Eingabe, und der Browser dessen, der sie später anzeigt, führt ihn aus. Im Änderungsprotokoll zu Version 3.15.4 steht entsprechend, die Ausgabe in der Bearbeitungsansicht für Eingänge sei stärker abgesichert worden.

Der Auslöser ist eng umrissen. Der Code läuft, wenn ein Administrator den präparierten Formulareingang im Backend in der älteren Bearbeitungsansicht öffnet. Er nutzt dann die angemeldete Sitzung dieses Administrators. Laut Patchstack installiert er ein schädliches Plugin, legt ein neues Administratorkonto an und richtet einen weiteren, versteckten Zugang ein.

Für den Alltag heißt das: Der gefährliche Moment ist ein gewöhnlicher Arbeitsschritt. Wer Anfragen im Backend nachliest, macht nichts falsch. Die Abhilfe ist deshalb das Update und nicht die Bitte an die Mitarbeitenden, bestimmte Ansichten zu meiden.

Welche Version Ihre Website braucht

Die weitere Lücke hat eine eigene Kennung, CVE-2026-90438. Sie betrifft Versionen bis einschließlich 3.15.4 und ist laut CVE-Datensatz nur ausnutzbar, wenn bei einem Absatz-Textfeld (Paragraph Text) der Rich-Text-Editor eingeschaltet ist. Zur beobachteten Angriffswelle gehört sie nicht: Patchstack nennt für Ninja Forms nur CVE-2026-94504. Im CVE-Datensatz ist für die zweite Lücke mit Stand 3. Oktober 2026 keine Ausnutzung vermerkt.

Ziel ist trotzdem die neueste Version, mit Stand 14. Oktober 2026 also 3.15.5. Version 3.15.4 ist der Mindeststand gegen die ausgenutzte Lücke, nicht das Ziel.

Bemerkenswert ist der Abstand. Die Korrektur erschien am 21. September 2026, die erste beobachtete Ausnutzung über Ninja Forms folgte am 5. Oktober 2026. Dazwischen lagen 14 Tage.

Mit dem WordPress-Kern hat das nichts zu tun. In unserem Beitrag zur Kern-Lücke CVE-2026-87902 ging es um WordPress selbst. Ninja Forms ist ein Plugin mit eigener Versionsnummer, und ein aktualisierter Kern sagt nichts über den Stand der Plugins.

Warum das Update eine befallene Website nicht säubert

Das Besondere an diesem Fall sind die Rückwege, die die Angreifer anlegen. Patchstack beschreibt in seiner Analyse vom 6. Oktober 2026 vier Wege, auf denen sie nach einem erfolgreichen Angriff zurückkommen können:

• Ein zusätzliches Administratorkonto, das in der Benutzerverwaltung sichtbar ist.
• Ein verstecktes Administratorkonto. Patchstack nennt es einen Administrator mit vollen Rechten, den der Betreiber nicht sehen kann. Verborgen wird es über ein Must-Use-Plugin. Solche Plugins lassen sich laut Patchstack im Backend nicht deaktivieren und stehen nie in der Plugin-Liste.
• Eine geheime Anmeldeadresse, über die man als ältester Administrator der Website angemeldet wird.
• Ein Dateimanager, der ohne Anmeldung erreichbar ist.

Dazu schreibt Patchstack sinngemäß: Wer das anfällige Plugin entfernt, oder sogar das schädliche, schließt keinen der letzten drei Wege. Für das Update gilt dasselbe. Es schließt die Tür, durch die der Code hereinkam. Was der Code hinter dieser Tür angelegt hat, bleibt.

Das versteckte Konto ist zudem schwer zu finden. Laut Patchstack wird es aus der Benutzerliste herausgefiltert, deshalb lässt es sich im Verwaltungsbereich nicht entdecken. Die Prüfung muss in der Datenbank stattfinden, in der WordPress die Konten speichert. Auch ein naheliegender Weg fällt aus: Wann eine Datei zuletzt geändert wurde, ist laut Patchstack in diesem Fall kein verlässlicher Hinweis.

Was Sie Ihren Website-Dienstleister fragen

Sie müssen dafür nicht selbst in die Website. Diese Fragen können Sie wörtlich an Agentur, Hoster oder die Person weitergeben, die Ihre Website betreut:

1. Nutzt unsere Website Ninja Forms, und in welcher Version genau? Bitte mit allen Stellen, also etwa 3.15.3 und nicht nur 3.15.
2. Steht die neueste Version, mit Stand 14. Oktober 2026 also 3.15.5? Mindestens 3.15.4 ist nötig, damit die ausgenutzte Lücke geschlossen ist.
3. Seit wann steht der korrigierte Stand? Ein Datum ist eine bessere Antwort als „das läuft schon“. Lief die Seite am 5. Oktober 2026 noch mit 3.15.3 oder älter, war sie während der beobachteten Angriffswelle verwundbar.
4. Wurden die Administratorkonten direkt in der Datenbank geprüft? Die Benutzerverwaltung im Backend reicht nicht, weil sie das versteckte Konto nicht anzeigt.
5. Wurde der Ordner mu-plugins auf dem Server durchgesehen? Dort liegen die Must-Use-Plugins, die in der Plugin-Liste nicht auftauchen.
6. Wurde nach den Spuren gesucht, die Patchstack veröffentlicht hat? Die Analyse nennt Erkennungsmerkmale für diesen Angriff. Ihr Dienstleister kann sie mit Ihrer Website abgleichen.

Wenn sich ein Befall bestätigt

Patchstack ist hier deutlich. Eine Website, auf der der Code im Browser eines Administrators gelaufen ist, soll als möglicherweise kompromittiert gelten. Für die Bereinigung nennt Patchstack diese Schritte:

• unbefugte Konten und Plugins entfernen,
• den Ordner mu-plugins säubern,
• zwei bestimmte Einstellungseinträge löschen, die Patchstack benennt,
• die Zugangsdaten aller Konten mit erweiterten Rechten wechseln, ebenso die geheimen Schlüssel in der WordPress-Konfiguration, die sogenannten Salts,
• Dateisystem und Datenbank auf weitere Veränderungen prüfen.

Das Passwort des ältesten Administrators soll laut Patchstack ausdrücklich als kompromittiert gelten. Es wird also auch dann gewechselt, wenn mit diesem Konto scheinbar nichts passiert ist.

Das ist Arbeit für den, der die Website technisch betreut, denn sie braucht Zugriff auf Server und Datenbank. Lassen Sie sich danach schriftlich geben, was geprüft und was geändert wurde.

Eine Frage liegt außerhalb der Technik. Über ein Kontaktformular kommen in der Regel personenbezogene Angaben herein, etwa Namen und E-Mail-Adressen. Ob nach einem Befall eine Meldung nötig ist, ist eine Rechtsfrage. Die beantworten wir hier nicht. Lassen Sie das von Ihrer Datenschutzberatung prüfen.

Was offen ist

Einiges ist nicht geklärt, und wir füllen das nicht mit Vermutungen.

• Ausmaß: Patchstack schreibt am 6. Oktober 2026, die Ausnutzung sei in den eigenen Messdaten begrenzt. Eine Zahl befallener Websites nennt keine der Quellen.
• Weitere Ansichten: Die Quellen beschreiben den Auslöser für die ältere Bearbeitungsansicht. Ob andere Ansichten im Backend ebenfalls betroffen sind, sagen sie nicht.
• Schwere in Punkten: Für CVE-2026-94504 nennen die Quellen leicht unterschiedliche Werte nach dem Bewertungsschema CVSS. Wir nennen keinen davon. Mehr Gewicht hat, dass die Lücke ausgenutzt wird.
• Hersteller: Eine eigene Sicherheitsmeldung von Ninja Forms führt Patchstack nicht, nur den Eintrag im Änderungsprotokoll (Stand 6. Oktober 2026).
• Ihre eigene Seite: Ob bei Ihnen je ein präparierter Eingang geöffnet wurde, lässt sich ohne Prüfung nicht sagen. Deshalb lohnt die Prüfung auch dann, wenn die Seite unauffällig wirkt.

Die Frage hinter der Versionsnummer

Die Versionsnummer ist schnell geklärt. Schwieriger ist oft die Frage dahinter: Wer kümmert sich bei Ihnen um die Plugins der Website, und wer würde einen Befall bemerken? Wenn sich das nicht mit einer kurzen Nachricht klären lässt, liegt dort die eigentliche Aufgabe.

Wenn Sie die Antworten Ihres Dienstleisters nicht einordnen können, sprechen Sie uns an.