Everest Backup WordPress-Plugin: Unauthentifizierte Remote Code Execution
Zusammenfassung
Das WordPress-Plugin Everest Backup bis und mit Version 2.3.13 enthält eine unauthentifizierte Remote Code Execution-Schwachstelle (CWE-94, Code-Injection). Ein Angreifer aus dem Internet kann präparierte Anfragen an eine verwundbare Website senden und ohne Anmeldung Befehle auf dem Webserver ausführen. Eine praktische Ausnutzung gilt als komplex, ein öffentlicher Exploit ist nicht bestätigt, und eine korrigierte Version ist noch nicht verfügbar.
Betroffen
- Everest Backup WordPress-Plugin (everestthemes), Version 2.3.13 und früher
- Versionen vor 2.3.13 sind vom gleichen Bereich abgedeckt
Behoben in
Unbekannt. Es wurde noch keine korrigierte Version veröffentlicht. Version 2.3.13 liegt im betroffenen Bereich und gilt nicht als sicher.
Umgehung
- Plugin deaktivieren und entfernen, sofern es nicht unverzichtbar ist
- Falls das Plugin benötigt wird, den Zugriff auf die Website mit einer WAF oder Netzwerkkontrollen einschränken
- Eine WAF-Regel für diese Schwachstelle verwenden, falls sie vom Anbieter verfügbar ist; eine Regel des Herstellers ist nicht bekannt
- Geprüfte Offline-Backups aufbewahren
Ausnutzung
- Bekannt ausgenutzt (KEV): nicht gelistet
- Öffentlicher Proof of Concept: keiner bestätigt; Status unbekannt
- EPSS-Wert: 0.00448 (niedrig)
- Erkennungsregeln wurden von Qualys veröffentlicht (Oktober 2026)
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren und prüfen, ob Everest Backup installiert und welche Version aktiv ist
- Plugin entfernen, sofern es nicht unverzichtbar ist
- Falls es benötigt wird, Zugriff einschränken, WAF-Schutz aktivieren und frische Offline-Backups erstellen
- Webserver-Logs auf ungewöhnliche Anfragen an das Plugin prüfen sowie auf neue Administratorkonten und unbekannte Dateien kontrollieren
- Changelog von WordPress.org sowie die Einträge bei Patchstack und NVD auf eine Korrektur überwachen und danach den betroffenen Bereich erneut prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-39802 patchstack.com
- Ionix threat center CVE-2026-39802 www.ionix.io
- WordPress.org plugin Everest Backup wordpress.org
- Qualys application-security detections October 2026 notifications.qualys.com
- Rapid7 via Vulners (EPSS) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.