BackupSheep WordPress Plugin: Nicht authentifizierte Dateilöschung und Backup-Download
Zusammenfassung
Das BackupSheep WordPress Backup Plugin bis Version 1.8 validiert seinen Integrationsschlüssel nicht korrekt. Ein nicht gesetzter oder leerer Schlüssel wird akzeptiert, sodass nicht authentifizierte Angreifer vollständige Website-Backups erstellen und herunterladen können, inklusive der Datenbank mit Passwort-Hashes der Benutzer, und beliebige Dateien auf dem Server löschen können. Dies kann zur Offenlegung sensibler Daten und zur Übernahme der Website führen. Das Plugin ist seit Juli 2024 auf WordPress.org geschlossen und es ist keine korrigierte Version verfügbar.
Betroffen
- BackupSheep WordPress Backup Plugin, Versionen 0 bis 1.8
Behoben in
- Keine korrigierte Version verfügbar. Das Plugin ist seit Juli 2024 auf WordPress.org geschlossen.
Umgehung
- Das Plugin von allen Websites entfernen, auf denen es installiert ist. Eine andere Massnahme ist nicht bekannt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Alle WordPress-Websites auf das Plugin prüfen und es entfernen.
- Webserver-Logs auf unautorisierte Backup-Downloads oder Dateilöschungen prüfen.
- Falls das Plugin installiert war, Passwörter der WordPress-Administratoren und Benutzer ändern.
- Web-Root und wp-content auf verbliebene Backup-Archive sowie auf fehlende oder veränderte Dateien prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory CVE-2026-101148 wpscan.com
- WPScan plugin page BackupSheep wpscan.com
- OpenCVE CVE-2026-101148 app.opencve.io
- VulDB CVE-2026-101148 vuldb.com
- VulDB entry 412502 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.