Ultimate Multisite WordPress-Plugin: Unauthentifizierte lokale Dateieinbindung
Zusammenfassung
Das WordPress-Plugin Ultimate Multisite vor Version 2.17.2 prüft einen vom Benutzer gelieferten Wert nicht, mit dem die einzubindende Datei ausgewählt wird. Ein unauthentifizierter Angreifer kann dadurch beliebige lokale Dateien einbinden und lesen, einschliesslich der WordPress-Konfigurationsdatei wp-config.php. Das Problem betrifft nur WordPress-Multisite-Installationen mit diesem Plugin, die aus dem Internet erreichbar sind, und das Auslesen der Konfigurationsdatei kann Datenbank-Zugangsdaten offenlegen.
Betroffen
- WordPress-Plugin Ultimate Multisite, alle Versionen vor 2.17.2
Behoben in
- Version 2.17.2 (laut Changelog veröffentlicht am 2026-10-06)
- Voraussetzungen: WordPress 5.3+ und PHP 8.2+
Umgehung
- Keine Workaround-Massnahme in den Quellen dokumentiert.
- Bis zur Behebung das Plugin auf allen Multisite-Netzwerken einschränken oder deaktivieren.
Ausnutzung
- Zum Zeitpunkt der Quellen nicht im CISA KEV aufgeführt (Drittanbieter-Tracker; bitte auf cisa.gov prüfen).
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- EPSS-Wert je nach Aggregator zwischen 0.20% und 0.503%.
- Öffentlicher Proof of Concept: Unbekannt.
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Prüfen, ob WordPress-Websites Ultimate Multisite einsetzen, und deren Version ermitteln.
- Auf Version 2.17.2 oder neuer aktualisieren und die aktuelle Version auf der GitHub-Seite des Herstellers bestätigen.
- War eine Instanz vor dem Patch exponiert, Zugriffsprotokolle prüfen und Datenbank- sowie Geheimnis-Zugangsdaten rotieren.
- CVSS-Vektor und NVD-Status überprüfen, da die NVD-Analyse noch ausstehend ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory CVE-2026-107508 wpscan.com
- Ultimate Multisite plugin page wordpress.org
- Ultimate Multisite release v2.17.2 github.com
- EUVD-2026-100892 vulners.com
- CVE-2026-107508 threatint cve.threatint.com
- VulnCheck CVE-2026-107508 (vulnrichment) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.