TranslatePress-Lücke gefährdet 400.000 WordPress-Seiten

Das IT-Sicherheitsunternehmen Wordfence warnt vor einer kritischen Sicherheitslücke im WordPress-Plugin TranslatePress, das auf mehr als 400.000 Installationen im Einsatz ist. Nicht authentifizierte Angreifer können sich darüber Zugang zu Passwort-Rücksetzen-Links verschaffen, Admin-Passwörter ändern und komplette WordPress-Instanzen übernehmen.

Parallel warnt die Sicherheitsfirma Patchstack vor kritischen Lücken im Single-Sign-On-Plugin miniOrange SAML 2.0. Angriffsversuche darauf hat das Unternehmen DigitalOcean in seinem Honeypot-Netzwerk beobachtet.

Details zur Schwachstelle

Die TranslatePress-Lücke ist unter CVE-2026-19632 registriert und erhält mit einem CVSS-Wert von 9,8 die höchste Risikoeinstufung „kritisch“. Sie greift laut Wordfence allerdings nur, wenn im Admin-Profil eine zweite Sprache konfiguriert wurde. Da TranslatePress als Übersetzungsmodul für Mehrsprachigkeit gedacht ist, dürfte diese Konfiguration verbreitet sein — eine Zahl dazu nennt Wordfence nicht. Version 3.3.2 und neuere Releases des Plugins beheben den Fehler, wie heise online berichtet.

Zusätzliches Risiko durch miniOrange SAML

Beim Zugangsverwaltungs-Plugin miniOrange SAML 2.0 sind zwei weitere Lücken bekannt: eine als kritisch eingestufte (CVE-2026-15981, CVSS 9.8) und eine mit hohem Risiko (CVE-2026-61979, CVSS 8.1). Beide wurden im Juli und Mitte August öffentlich. Sie erlauben es Angreifern, sich ohne Authentifizierung als beliebiger Nutzer im wp-admin-Bereich anzumelden. Patchstack weist darauf hin, dass unter dem WordPress-Listing des Plugins insgesamt sieben verschiedene Abonnement-Versionen mit eigener Versionierung existieren. Die öffentlichen Sicherheitsmeldungen deckten bislang nur die kostenlose Variante ab. Die sechs kostenpflichtigen Versionen wurden zwar gepatcht, jedoch ohne veröffentlichtes Changelog und ohne begleitende Sicherheitsmitteilung. Dadurch tauchen sie in keiner Schwachstellendatenbank auf, und betroffene Seiten wurden fälschlich als sicher eingestuft. Eine ältere 16er-Version des Plugins verfügt zudem über keine automatischen Updates, sodass Administratoren die Aktualisierung manuell einspielen müssen. Angriffsversuche auf diese Lücken hat DigitalOcean in seinem Honeypot-Netzwerk registriert.

Wiederkehrendes Muster bei WordPress-Plugins

Plugins geraten regelmäßig ins Visier von Angreifern, weil sie breit verteilt sind und selten zentral gepatcht werden. Erst vor wenigen Tagen wurde eine vergleichbare Schwachstelle im deutlich verbreiteteren Elementor Pro bekannt, das auf über sechs Millionen aktiven Installationen läuft. Eine übernommene Instanz lässt sich für Phishing, Malware-Verteilung oder SEO-Spam missbrauchen — mit Folgen für Rankings, Reichweite und das Vertrauen in die Domain.

Der Fall miniOrange SAML zeigt daneben ein strukturelles Problem: Versionsnummern und Sicherheitsmeldungen sind bei kommerziellen Plugin-Varianten nicht immer vollständig öffentlich dokumentiert. Eine Risikobewertung allein anhand von Schwachstellendatenbanken greift dann zu kurz.

Was Sie jetzt tun sollten

Betroffen sind TranslatePress-Installationen mit konfigurierter Zweitsprache sowie sämtliche Varianten von miniOrange SAML 2.0. Bei TranslatePress behebt Version 3.3.2 die Lücke. Bei miniOrange SAML sollte die installierte Variante geprüft werden — die kostenpflichtigen Versionen wurden ohne Changelog aktualisiert, und die 16er-Version aktualisiert sich nicht selbst.

Quellen

• heise online