Elementor hat die Sicherheitslücke CVE-2026-104718 in Version 4.3.6 behoben. Ausnutzen kann sie ein angemeldetes Konto mit der Rolle Mitarbeiter (englisch Contributor) oder höher: Es schleust ein Skript in eine Seite ein, das danach im Browser jedes Betrachters läuft, auch im Browser eines Administrators, der einen Entwurf prüft.
Der Sicherheitsanbieter WPScan hat die Lücke am 9. November 2026 veröffentlicht und mit 6,8 von 10 als mittelschwer eingestuft. WPScan will den Beispielcode für den Angriff am 23. November freigeben, damit Betreiber vorher aktualisieren können.
Was steckt hinter der Lücke?
Elementor prüfte die ID eines Seitenelements nicht, bevor das Plugin sie in ein Attribut schrieb, das ein Framework im Browser als JavaScript auswertet. Fachlich handelt es sich um persistentes Cross-Site-Scripting: Der Schadcode steckt in der Seite selbst und läuft bei jedem Aufruf erneut.
Die WPScan-Meldung nennt als Entdecker Hung Bach Ngoc und alle Elementor-Versionen vor 4.3.6 als betroffen. Im Titel steht „Contributor+“, der CVSS-Vektor mit der Detailwertung setzt dagegen hohe Rechte voraus. Welche Rolle genau genügt, sagt WPScan nicht eindeutig, also gehst du besser von der niedrigeren Hürde aus.
Wen betrifft die Lücke?
Betroffen sind Seiten, auf denen fremde Personen ein Konto mit der Rolle Mitarbeiter oder höher besitzen: Magazine mit Gastautoren, Seiten mit offener Registrierung und Kundenseiten, auf denen Auftraggeber Inhalte einreichen. Bei einer Seite, die nur du als Administrator nutzt, ist das Risiko geringer. Ein gekapertes Konto reicht aber als Einfallstor.
Die aktuelle Version ist 4.4.0 vom 9. November 2026 und enthält die Korrektur. Laut WordPress.org verlangt sie WordPress 6.8 und PHP 7.4, und das Plugin hat mehr als 10 Millionen aktive Installationen. Falls WordPress dir kein Update anbietet, prüf zuerst deine WordPress- und PHP-Version.
Was das für dich bedeutet
Öffne im WordPress-Menü die Plugin-Liste und lies in der Elementor-Zeile die Versionsnummer ab. Bei einer Version unter 4.3.6 spielst du das Update am besten noch diese Woche ein, spätestens vor dem 23. November. Leg vorher eine Sicherung an, damit du bei Problemen zum alten Stand zurückkehren kannst.
So sicherst du Elementor ab
Für Elementor vor Version 4.3.6, Stand 13. November 2026
- Version ablesenunter Plugins in der Elementor-Zeile
- Sicherung anlegenBackup der Seite vor dem Update
- Aktualisierenauf 4.3.6 oder neuer, aktuell 4.4.0
- Konten ansehenRolle Mitarbeiter und höher unter Benutzer
Den Beispielcode für den Angriff will WPScan am 23. November veröffentlichen.
Quellen: WPScan, WordPress.org
Sieh dir danach unter Benutzer alle Konten mit der Rolle Mitarbeiter oder höher an und lösche die, die niemand mehr braucht. Bei den übrigen Konten bietet sich ein neues Passwort an, falls du ihnen nicht mehr sicher traust.
Schalte für Elementor außerdem die automatischen Updates ein: In der Plugin-Liste steht dafür in der Elementor-Zeile „Automatische Updates aktivieren“. Die nächste Korrektur landet dann ohne Wartezeit auf deiner Seite. Bei Kundenseiten stimmst du das vorher mit dem Auftraggeber ab.
Mit 6,8 gilt die Lücke als mittelschwer, nicht als kritisch. Weil Elementor aber mehr als 10 Millionen aktive Installationen hat und der Beispielcode ab dem 23. November erscheinen soll, lohnt sich das Update vor diesem Datum.
WPScan hat die Meldung am 9. November 2026 veröffentlicht.
Quellen
