AcyMailing SMTP Newsletter: Unauthentifizierte Remote Code Execution
Zusammenfassung
AcyMailing SMTP Newsletter, ein Newsletter-Plugin für WordPress, enthält in den Versionen bis und mit 11.0.5 eine Schwachstelle für Remote Code Execution (CWE-94, Code Injection). Ein nicht authentifizierter Angreifer kann über das Netzwerk beliebige Befehle auf dem Webserver ausführen. Der CVSS-Vektor bewertet die Angriffskomplexität als hoch, Patchstack stuft die Schwachstelle jedoch als hohe Priorität ein und erwartet eine Ausnutzung.
Betroffen
- AcyMailing SMTP Newsletter (WordPress-Plugin) bis und mit 11.0.5
- Joomla-Installationen: für diese CVE nicht bestätigt
Behoben in
- Auf Version 11.1.0 oder neuer aktualisieren (Patchstack und der CVE-Eintrag nennen 11.1.0 als gepatchte Version).
Umgehung
- Patchstack hat eine Mitigation-Regel veröffentlicht, die Angriffe bis zur Aktualisierung des Plugins blockiert. Virtual Patching ist eine Übergangslösung und keine Behebung.
- Falls kein Update möglich ist, das Plugin deaktivieren oder entfernen.
Ausnutzung
- Unauthentifizierter Angriff über das Netzwerk; die CVSS-Angriffskomplexität ist hoch.
- Patchstack erwartet eine Ausnutzung und weist darauf hin, dass ähnliche Schwachstellen in Massenangriffs-Kampagnen eingesetzt werden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar. Laut Strix nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle WordPress-Websites mit AcyMailing erfassen und die genaue Version dokumentieren.
- Jede betroffene Website umgehend auf Version 11.1.0 oder neuer aktualisieren.
- Falls ein Update nicht möglich ist, das Plugin deaktivieren oder eine WAF-Regel aktivieren.
- Websites auf unerwartete PHP-Dateien im Plugin- oder Upload-Verzeichnis, neue Administratorkonten und ungewöhnliche ausgehende Verbindungen prüfen; bei Funden Zugangsdaten erneuern.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory for CVE-2026-94389 patchstack.com
- Strix: CVE-2026-94389 www.strix.ai
- Vulners: Patchstack entry PATCHSTACK:4DDDCEC5343AA58BCC8CEF267B248895 vulners.com
- Patchstack: AcyMailing vulnerabilities overview patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.