AcyMailing SMTP Newsletter: Unauthentifizierte Löschung beliebiger Dateien
Zusammenfassung
Das WordPress-Plugin AcyMailing SMTP Newsletter bis und mit Version 11.0.5 enthält einen Zugriffskontrollfehler, der es nicht angemeldeten Benutzern erlaubt, beliebige Dateien auf dem Server zu löschen. Ein Angreifer kann eine präparierte Anfrage ohne Anmeldung senden, wodurch wichtige Dateien wie Konfigurations- oder Core-Dateien entfernt werden und die Website ausfallen oder fehlerhaft werden kann. Für den Angriff ist keine Benutzerinteraktion nötig, daher ist jede über das Internet erreichbare WordPress-Website mit dem betroffenen Plugin gefährdet.
Betroffen
- AcyMailing SMTP Newsletter WordPress-Plugin (Paket acymailing) bis und mit 11.0.5
Behoben in
- Auf Version 11.1.0 oder neuer aktualisieren (Hersteller und Patchstack nennen 11.1.0 als gepatchte Version; 11.1.1 ist die neueste in der Recherche gesehene Version).
- Die genaue Korrekturversion für diese CVE ist in den Quellen nicht bestätigt.
Umgehung
- Das Einspielen des Updates ist die Behebung. Patchstack bietet unter Umständen Virtual-Patching-Regeln an, für diese CVE wurde jedoch keine bestätigt.
- Falls sofort nicht aktualisiert werden kann, das Plugin deaktivieren, bis das Update eingespielt ist.
- Website und Dateisystem vor Änderungen sichern.
Ausnutzung
- Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung; CISA SSVC führt Exploitation als none und Automatable als yes.
- In den Quellen wurde kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung gefunden.
Unsere Empfehlung
- AcyMailing auf allen WordPress-Websites sofort auf Version 11.1.1 oder die neueste verfügbare Version aktualisieren.
- Prüfen, ob das Plugin auf einer über das Internet erreichbaren Website installiert ist, auch auf alten Kampagnen-Websites.
- Falls die Aktualisierung verzögert wird, das Plugin deaktivieren und die Website auf fehlende oder veränderte Dateien überwachen.
- Weitere AcyMailing-Advisories von 2026 prüfen und das Plugin auf einer aktuellen Version halten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-95588 patchstack.com
- Patchstack AcyMailing vulnerabilities overview patchstack.com
- CVE record mirror (threatint) cve.threatint.com
- Strix CVE-2026-95588 www.strix.ai
- AcyMailing changelog www.acymailing.com
- AcyMailing on WordPress.org wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:28.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.