Eine Sicherheitslücke in einem WordPress-Plugin wird aktiv ausgenutzt und öffnet Tausenden Websites ohne Anmeldedaten oder Interaktion durch Nutzer den Weg zur Übernahme von Administratorkonten.
Patchstack meldete eine nicht authentifizierte Rechteausweitung im Plugin Modular DS, einem Tool zur Remote-Verwaltung von Websites mit mehr als 40.000 aktiven Installationen.
Die Sicherheitslücke ermöglicht es, „… verschiedene Aktionen auszuführen, von der Remote-Anmeldung bis zur Erlangung sensibler System- oder Nutzerdaten“, sagten die Forscher.
Der Authentifizierungs-Bypass von Modular DS
Unter der Bezeichnung CVE-2026-23550 betrifft die Sicherheitslücke die Modular-DS-Versionen 2.5.1 und älter und schafft auf ungepatchten WordPress-Websites einen direkten Weg zu Zugriff auf Administratorebene.
Das ist für WordPress-Administratoren und Hosting-Anbieter besonders problematisch, da eine Übernahme das Anlegen neuer Administratorkonten, die Installation schädlicher Plugins, Änderungen an der Website und eine langfristige Persistenz ermöglichen kann.
Modular DS dient der Remote-Verwaltung von WordPress – etwa für Überwachung, Updates und Website-Administration – und stellt deshalb eine Reihe privilegierter API-Routen bereit, die für vertrauenswürdige Systeme gedacht sind.
Diese API-Routen liegen unter dem API-Präfix des Plugins /api/modular-connector/.
Laut der Analyse von Patchstack ist die Schwachstelle das Ergebnis mehrerer Vertrauens- und Routing-Entscheidungen, die zusammen einen Authentifizierungs-Bypass ermöglichen.
Obwohl sensible Routen hinter einer Authentifizierungs-Middleware gebündelt sind, können Angreifer den Modus für einen direkten Request allein dadurch auslösen, dass sie von ihnen kontrollierte Abfrageparameter wie origin=mo und type=<any value> einfügen.
Problematisch ist, dass diese Bedingung für einen direkten Request als vertrauenswürdiges Signal behandelt wird, ohne eine stärkere Validierung zu verlangen – etwa eine signierte Anfrage, ein gemeinsames Geheimnis, eine Positivliste von Quell-IP-Adressen oder eine strikte Client-Verifizierung.
Dadurch können nicht authentifizierte Nutzer möglicherweise auf Routen zugreifen, die eigentlich geschützt sein sollten.
Die Route mit den größten Auswirkungen ist /login/{modular_request}, die einem Angreifer effektiv Zugriff auf wp-admin verschaffen kann.
Patchstack stellte fest, dass der Login-Ablauf des Plugins, wenn der Anfrage-Body keine bestimmte Benutzer-ID angibt, auf die Auswahl eines vorhandenen Administratorkontos zurückgreift und den Angreifer automatisch als dieser Nutzer anmeldet.
Unter normalen Umständen kann dieses Verhalten für eine legitime Remote-Administration vorgesehen sein – ist die Route jedoch nicht authentifiziertem Datenverkehr ausgesetzt, wird sie zu einem unmittelbaren Mechanismus zur Rechteausweitung.
WordPress gegen Plugin-Schwachstellen härten
Da CVE-2026-23550 unauthentifizierten Admin-Zugriff ermöglichen kann und bereits ausgenutzt wurde, sollten Nutzer von Modular DS die Behebung vorrangig angehen.
Das Einspielen des Patches ist die effektivste Maßnahme, doch zusätzliche Kontrollen können die Angriffsfläche verringern und die Auswirkungen begrenzen, während Updates ausgerollt werden.
Die folgenden Schritte konzentrieren sich darauf, den Zugriff auf die betroffenen Endpunkte zu verschärfen, verdächtigen Datenverkehr zu filtern und nach Anzeichen unbefugter Änderungen zu suchen.
- Aktualisieren Sie das Modular-DS-Plugin auf Version 2.5.2 oder höher auf allen Websites, wobei Websites mit hohem Datenverkehr und aus dem Internet erreichbare Instanzen zuerst zu priorisieren sind.
- Beschränken Sie den Zugriff auf /api/modular-connector/ mithilfe von Netzwerkkontrollen wie IP-Positivlisten, ausschließlich per VPN erlaubtem Zugriff oder vertrauenswürdigen Verwaltungsbereichen.
- Fügen Sie WAF-Regeln oder eine Ratenbegrenzung hinzu, um verdächtige Anfragen zu blockieren oder zu drosseln an /api/modular-connector/login/, insbesondere solche mit origin=mo und ungewöhnlichen type-Werten.
- Suchen Sie nach einer Kompromittierung, indem Sie Protokolle prüfen und WordPress-Administratorkonten auf unbefugte Nutzer kontrollieren, einschließlich neu angelegter Konten im Stil von „admin“ mit verdächtigen E-Mail-Adressen.
- Setzen Sie Zugangsdaten zurück und erneuern Sie Geheimnisse, wenn eine Kompromittierung vermutet wird, und überprüfen Sie anschließend die Integrität von Plugins und Themes, um sicherzustellen, dass keine schädlichen Änderungen oder Erweiterungen eingeführt wurden.
- Härten Sie WordPress, indem Sie MFA durchsetzen, die Zahl der Administratorkonten reduzieren und das Risiko nach einer Kompromittierung durch Kontrollen der Dateiausführung und Änderungsüberwachung begrenzen.
Zusammengenommen tragen diese Maßnahmen dazu bei, die Angriffsfläche zu verringern, Kompromittierungen frühzeitig zu erkennen und WordPress-Websites gegen wiederholte Übernahmeversuche zu härten.
Warum CVE-2026-23550 wichtig ist
CVE-2026-23550 erinnert deutlich daran, dass weit verbreitete Verwaltungs-Plugins ein hohes Risiko mit sich bringen können, wenn Authentifizierungs- und Routing-Kontrollen versagen.
Für Unternehmen, die Modular DS einsetzen, besteht die Priorität darin, schnell zu aktualisieren und anschließend durch die Prüfung von Protokollen, Konten und installierten Komponenten auf verdächtige Änderungen zu kontrollieren, dass kein unbefugter Admin-Zugriff stattgefunden hat.
Über diesen Vorfall hinaus können Teams ihre Gefährdung durch ähnliche, von Plugins ausgehende Angriffe verringern, indem sie den Zugriff auf privilegierte Endpunkte begrenzen, MFA durchsetzen und die Überwachung administrativer Aktionen verbessern.
Um diese Schutzmaßnahmen einheitlicher umzusetzen, setzen Unternehmen auf Zero-Trust-Lösungen , die den Zugriff kontinuierlich überprüfen und den Explosionsradius begrenzen.