Sicherheitslücke in TranslatePress ermöglicht die Übernahme von Administratorkonten: was jetzt zu tun ist

Eine kritische Sicherheitslücke in TranslatePress, dem Mehrsprachigkeits-Plugin, das auf mehr als 400.000 WordPress-Websites im Einsatz ist, kann es einem Angreifer ohne Konto auf Ihrer Website ermöglichen, den Link zum Zurücksetzen des Passworts eines Administrators zu erhalten, ein neues Passwort festzulegen und sich als dieser Administrator anzumelden.

In der Praxis bedeutet das die volle Kontrolle über die Website.

Die Lücke wird als CVE-2026-19632 geführt und betrifft TranslatePress bis einschließlich Version 3.3.1. Der Entwickler Cozmoslabs hat sie in Version 3.3.2 behoben. Spätere Versionen beheben weitere Probleme, daher ist heute 3.3.6 oder neuer das sicherste Ziel.

Ist meine Website betroffen?

Ihre Website ist dieser Sicherheitslücke ausgesetzt, wenn alle folgenden Punkte zutreffen:

• TranslatePress ist installiert und aktiv
• die Version ist 3.3.1 oder älter
• das automatische Speichern von Zeichenketten ist aktiviert, was die Standardeinstellung des Plugins ist
• mindestens ein Administrator hat als Profilsprache eine der veröffentlichten Zweitsprachen der Website eingestellt

Die letzte Bedingung schränkt ein, wer angegriffen werden kann, ist auf einer mehrsprachigen Website aber leicht erfüllt: zum Beispiel bei einem deutschsprachigen Administrator auf einer Website, die auf Englisch und Deutsch veröffentlicht ist.

Auch wenn Sie glauben, dass die Bedingungen nicht zutreffen, sollten Sie trotzdem aktualisieren. Einstellungen und Benutzerprofile ändern sich mit der Zeit, und ältere Versionen enthalten weitere bekannte Sicherheitslücken.

Was sollte ich jetzt sofort tun?

1. Prüfen, welche Version Sie verwenden

Gehen Sie im WordPress-Dashboard zu Plugins → Installed Plugins (auf Deutsch: Plugins → Installierte Plugins) und suchen Sie TranslatePress. Die Versionsnummer steht unter dem Namen des Plugins.

2. Ein Backup erstellen

Stellen Sie vor dem Update sicher, dass Sie ein aktuelles, vollständiges Backup der Dateien und der Datenbank haben. Prüfen Sie bei einem Onlineshop oder einer Mitgliederseite, ob das Backup die letzten Bestellungen und Registrierungen enthält.

3. TranslatePress aktualisieren

Aktualisieren Sie auf die neueste verfügbare Version, 3.3.6 oder neuer. Version 3.3.2 ist die Mindestversion, die CVE-2026-19632 behebt.

Wenn Sie auch Add-ons von TranslatePress oder die Pro-Version nutzen, aktualisieren Sie diese im selben Durchgang und prüfen Sie, ob sie kompatibel sind.

4. Die übersetzten Seiten testen

Prüfen Sie nach dem Update die wichtigsten Seiten in jeder Sprache, den Sprachumschalter sowie alle übersetzten Formulare, Checkout- und Kontoseiten.

5. Nach Anzeichen suchen, dass die Lücke ausgenutzt wurde

Das Update schließt die Sicherheitslücke, macht aber nichts rückgängig, was vorher passiert ist. Prüfen Sie die Punkte im nächsten Abschnitt.

Woran erkenne ich, ob jemand die Lücke ausgenutzt hat?

Diese Anzeichen sollten Sie prüfen:

• E-Mails zum Zurücksetzen des Passworts eines Administrators, die niemand angefordert hat
• ein Administrator, der sich nicht mehr mit seinem üblichen Passwort anmelden kann
• Administratorkonten, die Sie nicht kennen
• neue Plugins, Themes oder Dateien, die Sie nicht installiert haben
• Änderungen an Inhalten, Einstellungen oder Weiterleitungen, die niemand aus Ihrem Team vorgenommen hat
• Anmeldungen im Dashboard von ungewöhnlichen Orten oder zu ungewöhnlichen Zeiten

Wenn Sie eines davon feststellen, behandeln Sie es als Sicherheitsvorfall: Aktualisieren Sie nicht einfach und machen Sie weiter. Ändern Sie die Passwörter aller Administratoren, beenden Sie alle aktiven Sitzungen und lassen Sie die Website auf Hintertüren prüfen.

Sie verwenden eine ältere Version, etwa 2.8.x?

Viele Websites nutzen TranslatePress-Versionen, die mehrere Releases zurückliegen. Eine Installation, die noch auf 2.8.x läuft, ist von dieser Sicherheitslücke betroffen und von weiteren öffentlich dokumentierten Problemen, die in späteren Releases behoben wurden, darunter:

• CVE-2025-58592: Deserialisierung nicht vertrauenswürdiger Daten, Versionen bis 2.10.2, behoben in 2.10.3
• CVE-2026-18510: gespeichertes Cross-Site-Scripting, Versionen bis 3.2.6
• CVE-2026-89412: gespeichertes Cross-Site-Scripting über das Vorschlagsfeld des Translation Memory, Versionen bis 3.3.5, behoben in 3.3.6

Viele Versionen auf einmal zu überspringen, ist meist unproblematisch, verdient aber mehr Sorgfalt: Testen Sie das Update nach Möglichkeit zuerst auf einer Staging-Kopie und prüfen Sie anschließend individuellen Code, Add-ons und übersetzte Inhalte.

Was, wenn ich nicht sofort aktualisieren kann?

Das Update ist die einzige vollständige Lösung. Wenn Sie einige Stunden oder Tage brauchen, können diese Schritte das Risiko in der Zwischenzeit verringern:

• eine Web Application Firewall mit einer Regel für diese Sicherheitslücke nutzen (Wordfence und Patchstack haben beide einen Schutz veröffentlicht)
• die Profilsprache aller Administratoren vorübergehend auf die Standardsprache der Website stellen
• einschränken, wer die WordPress-Anmeldeseite und die Seite zum Zurücksetzen des Passworts erreichen kann, sofern Ihr Hosting das erlaubt

Das sind vorübergehende Maßnahmen. Planen Sie das Update so bald wie möglich.

Wie D4Hub helfen kann

D4Hub kann den gesamten Ablauf übernehmen oder nur den Teil, den Sie brauchen:

• prüfen, welche Version von TranslatePress und seinen Add-ons Sie verwenden
• die Website sichern und sicher aktualisieren, wenn möglich mit Test auf einer Staging-Kopie
• nach dem Update übersetzte Seiten, Sprachumschaltung, Formulare und Checkout testen
• Administratorkonten, kürzliche Änderungen und Logs auf Anzeichen von Missbrauch prüfen
• die Website bereinigen und Zugänge schließen, falls die Lücke ausgenutzt wurde
• eine Wartung einrichten, damit Sicherheitsupdates künftig schnell eingespielt werden

wp plugin get translatepress-multilingual --field=version

wp plugin update translatepress-multilingual

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

wp user meta get <user-id> locale

Häufige Fragen

Reicht Version 3.3.2 aus?

Version 3.3.2 behebt CVE-2026-19632. Spätere Releases beheben weitere Sicherheitslücken, darunter ein in 3.3.6 behobenes Problem mit gespeichertem Cross-Site-Scripting. Ein Update auf die neueste Version ist daher die bessere Wahl.

Wurde diese Sicherheitslücke bereits ausgenutzt?

Bei der Veröffentlichung der Lücke meldete Wordfence keine bestätigte Ausnutzung in freier Wildbahn. Patchstack stuft sie als wahrscheinliches Ziel automatisierter Massenangriffe ein. Da der Angriff sehr einfach ist, sollten Sie davon ausgehen, dass nicht aktualisierte Websites angegriffen werden.

Schützt mich ein Sicherheits-Plugin?

Eine Firewall-Regel kann den Angriff blockieren, während Sie aktualisieren. Wordfence hat am 13. August 2026 eine Regel für seine Premium-Nutzer und am 12. September 2026 für Nutzer der kostenlosen Version veröffentlicht. Eine Firewall-Regel ersetzt das Update nicht.

Ich habe aktualisiert. Muss ich trotzdem Passwörter ändern?

Wenn Sie eines der oben beschriebenen Warnzeichen feststellen, ja: Ändern Sie alle Administratorpasswörter und beenden Sie alle aktiven Sitzungen. Gibt es keine Anzeichen für Missbrauch, ist das Update der entscheidende Schritt, und eine Überprüfung der Administratorkonten ist gute Praxis.

Kann D4Hub helfen, wenn ich nicht sicher bin, was auf meiner Website installiert ist?

Ja. D4Hub kann die Plugins, Versionen und Einstellungen Ihrer Website prüfen und Ihnen sagen, ob Sie betroffen sind, bevor etwas geändert wird.

Quellen

• Wordfence Intelligence: Sicherheitslücken in TranslatePress
• Patchstack: TranslatePress 3.3.1, Kontoübernahme ohne Authentifizierung
• Patchstack: TranslatePress 2.10.2, Deserialisierung nicht vertrauenswürdiger Daten