CVE-2026-19949: Hive blockt die SQLi in All-in-One WP Migration standardmäßig
ReportedIP Hive blockiert Exploit-Versuche gegen CVE-2026-19949 standardmäßig: Die Firewall ist in jedem Tarif aktiv, auch im Free-Tarif, und inspiziert genau die Trackback-Requests, über die dieser Angriff hereinkommt. Die Schwachstelle ist eine unauthentifizierte Second-Order-SQL-Injection in All-in-One WP Migration and Backup bis Version 7.109, behoben in 7.110.
Wenn Sie das Plugin einsetzen, aktualisieren Sie jetzt auf All-in-One WP Migration 7.110 oder neuer. Die Firewall verschafft Zeit; die Lücke schließt erst das Update.
So funktioniert der Angriff hinter CVE-2026-19949
- Der Angreifer schickt einen präparierten Trackback an die Site, ganz ohne Login. WordPress speichert die mit Backslash- und Anführungszeichen-Sequenzen gespickte Nutzlast als gewöhnlichen Kommentar.
- Zunächst passiert nichts. Die Injection liegt schlafend in der Datenbank; genau deshalb übersehen Scanner sie, die nur auf sofortige Fehler achten.
- Stellt ein Administrator später ein Backup wieder her, verarbeitet All-in-One WP Migration die gespeicherten Daten fehlerhaft und die SQL-Injection wird ausgeführt.
- Das eingeschleuste SQL kann
ai1wm_secret_keyauslesen (das Token, das den Import-Endpunkt des Plugins schützt) und offenlegen. Damit steht die Tür zur vollständigen Übernahme der Site offen.
Sicherheitsforscher Jack Taylor meldete die Lücke am 14. August 2026 über das Wordfence-Bug-Bounty-Programm; ServMask lieferte den 7.110-Patch am 20. August aus, das Advisory wurde am 1. September öffentlich. Unser Schwesterunternehmen hat eine deutschsprachige Analyse veröffentlicht: CVE-2026-19949 bei CMS ADMINS.
Was Hive ab Werk blockiert
Die Hive Web Application Firewall ist in jedem Tarif standardmäßig aktiv, läuft im Blocking-Modus (nicht Report-only) und hängt sich mit init-Priorität 1 in die Request-Pipeline, bevor WordPress einen Trackback verarbeitet. Sie inspiziert URI, kompletten POST-Body und User-Agent jedes Requests, wp-trackback.php eingeschlossen. Sites mit dem Extended-Protection-Drop-in prüfen den Request, noch bevor WordPress überhaupt bootet.
Auf dem Standard-Paranoia-Level 1 stoppen zwei SQL-Injection-Signaturen (waf_sqli_union und waf_sqli_bool) die klassischen Payload-Formen: UNION-basierte Extraktion und boolesche Logik mit Kommentar-Terminatoren. Beide greifen in jedem Tarif, auch auf Local-Shield-Installationen, die nie mit unseren Servern sprechen.
Eine gezielte Trackback-Regel, heute gesynct
Second-Order-Injections lassen sich ohne die Schlüsselwörter bauen, nach denen generische Signaturen suchen. Deshalb haben wir am 3. September waf_sqli_trackback_2nd ins gesyncte Ruleset gepusht. Die Regel ist auf die Trackback-Endpunkte (wp-trackback.php und /trackback/-Permalinks) begrenzt und schlägt sowohl bei SELECT … FROM-Fragmenten an als auch beim Backslash-Anführungszeichen-Primitiv, auf dem diese Angriffsklasse aufbaut. Legitime Trackbacks enthalten beides nicht; die False-Positive-Fläche liegt nahe null.
Die Regel ist live als Free-Ruleset v6 und Professional-Ruleset v7, Ed25519-signiert wie jedes Ruleset, das wir veröffentlichen. Community-Network-Sites holen sie beim nächsten Rule-Sync ab; Local-Shield-Installationen erhalten sie gebündelt mit dem nächsten Plugin-Release. Eine ehrliche Einschränkung: Die zweite Stufe dieses Angriffs, der Restore, läuft in PHP ohne jeden HTTP-Request; keine Firewall kann sie sehen. Den Eingangsvektor zu blockieren ist Eindämmung; der Fix ist das Update auf 7.110.
Ihre Site in fünf Minuten härten
- ReportedIP Hive holen: 18 Angriffssensoren, WAF und vier 2FA-Methoden, kostenlos in jedem Tarif
- Plugin-Dokumentation lesen: WAF-Modi, Rule-Sync und Ausnahmebehandlung
- Alle 18 Sensoren im Detail: was jeder erkennt und mit welchem Standard-Schwellenwert