Contact Form 7: Upload-Lücke ohne Anmeldung in 6.2 bis 6.2.3, Update auf 6.2.4 nötig
Contact Form 7 6.2.4 schließt seit dem 29. Oktober 2026 eine Lücke, über die Angreifer ohne Anmeldung Dateien hochladen können. Betroffen sind die Versionen 6.2 bis 6.2.3 des Plugins, das auf mehr als zehn Millionen WordPress-Seiten läuft. Wordfence vergibt CVSS 9.8, Hersteller und Wordfence melden bisher keine Angriffe.
Der Entwickler von Contact Form 7 hat am 29. Oktober 2026 die Version 6.2.4 veröffentlicht und damit eine Lücke geschlossen, über die Angreifer ohne Anmeldung Dateien auf den Server hochladen können. Betroffen sind die Versionen 6.2 bis 6.2.3. Wordfence führt die Schwachstelle seit dem 31. Oktober mit CVSS 9.8, eine CVE-Nummer gibt es noch nicht. Das Plugin läuft laut wordpress.org auf mehr als zehn Millionen Websites.
Relevant ist das für alle Betreiber, die Contact Form 7 in der Reihe 6.2 einsetzen, vor allem mit Formularen, die Dateien entgegennehmen. Wer noch auf 6.1.x oder älter steht, ist von dieser Lücke nicht betroffen, sollte laut Hersteller aber trotzdem aktualisieren. Das Update gehört nicht ins nächste Wartungsfenster, sondern sollte zeitnah eingespielt werden.
Was ist passiert?
Laut der Ankündigung von Entwickler Takayuki Miyoshi lassen sich in den Versionen 6.2 bis 6.2.3 mehrere Fehler kombinieren. Dadurch können Angreifer Dateien hochladen, die die Validierung eigentlich blockieren sollte, und Dateien behalten, die nach dem Absenden sofort gelöscht werden müssten. Gefunden haben das Shinya Murakami und Jakub Herman, gemeldet wurde es über WPScan.
Patchstack beschreibt die Ursache genauer: Mit 6.2 entfiel eine Prüfung der Dateitypen, bevor hochgeladene Dateien im Verzeichnis uploads/wpcf7_uploads/ landen, abgelehnte Dateien wurden nicht gelöscht. Die verbliebene Sperrliste erfasst laut Patchstack Endungen wie .phar, .pht, .phps und .htaccess nicht. Der Angriff läuft über eine nicht authentifizierte Anfrage an die REST-Schnittstelle des Plugins.
Wer ist betroffen?
Betroffen sind Contact Form 7 6.2, 6.2.1, 6.2.2 und 6.2.3. Version 6.2 erschien Anfang Oktober, die anfällige Reihe war laut mySites.guru 24 Tage aktuell. Von den Contact-Form-7-Installationen, die mySites.guru überwacht, lagen am 29. Oktober 54,6 Prozent auf einer betroffenen Version. Der Hersteller nennt als mögliches Ziel theoretisch alle Formulare mit Datei-Upload-Feld auf Servern, die Verzeichnisinhalte öffentlich auflisten. Formulare ohne Upload-Feld fallen nicht darunter.
Wie kritisch ist das?
Wordfence bewertet die Lücke mit CVSS 9.8 (Vektor nach CVSS 3.1 ohne Anmeldung und ohne Nutzerinteraktion) und warnt vor möglicher Codeausführung. Patchstack setzt 8.1 an, weil das Zielverzeichnis eine zufällige Zahlenfolge enthält und nicht offengelegt wird. Berichte über Angriffe nennen weder der Hersteller noch Wordfence. Patchstack markiert den Eintrag zwar als „known to be exploited“, nennt dafür aber keine Belege und keine CVE. Im KEV-Katalog der CISA steht die Lücke laut mySites.guru nicht. Patchstack erwartet, dass die Lücke ausgenutzt wird.
Was sollten Admins jetzt tun?
- Inventar: auf allen WordPress-Seiten die installierte Version von Contact Form 7 prüfen, etwa mit
wp plugin list. - Update auf 6.2.4 oder neuer einspielen. Aktuell ist 6.2.4.1, eine Fehlerkorrektur ohne Bezug zur Lücke.
- Nach dem Update Formulare mit Upload testen: 6.2.4 arbeitet mit einer Positivliste von Dateiendungen. Endungen wie
zipoder Office-Formate müssen über den Filterwpcf7_file_extension_safelistergänzt werden, sonst wandelt das Plugin sie um. - Verzeichnisauflistung auf dem Webserver abschalten, falls sie aktiv ist.
- Kompromittierung prüfen: mySites.guru empfiehlt, das Verzeichnis
wp-content/uploads/wpcf7_uploads/auf Seiten, die mit 6.2 bis 6.2.3 liefen, auf liegengebliebene Dateien durchzusehen, besonders auf PHP-artige Endungen wie.phar,.phtoder.phps. Eine.htaccessmit Zugriffssperre legt das Plugin dort selbst an, verdächtig ist sie nur mit anderem Inhalt. - Als zusätzliche Prüfung empfiehlt S-EDV, die Webserver-Logs seit dem Update auf 6.2 auf auffällige POST-Anfragen an die Contact-Form-7-REST-Route durchzusehen.
Einordnung für Unternehmen
Kontaktformulare mit Upload-Feld sind bei Bewerbungs-, Support- und Angebotsformularen üblich. Gerade dort ist das Update dringend. Die Änderung an der Endungsliste kann solche Formulare nach dem Update stillschweigend einschränken, deshalb gehört ein kurzer Funktionstest dazu. Wer viele Seiten betreut, sollte die Version zentral abfragen, statt sich auf automatische Updates zu verlassen.
In eigener Sache
Wer Updates, Backups und Firewall seiner WordPress-Seite nicht selbst im Blick behalten will, findet bei S-EDV eine laufende WordPress-Wartung, die neue Sicherheitsupdates innerhalb von 48 Stunden einspielt.
Passende Anleitungen auf S-EDV
- WordPress-Updates per WP-CLI: Core, Plugins und Themes auf der Kommandozeile aktualisieren
- WordPress-Uploads absichern: PHP-Ausführung im Upload-Verzeichnis verhindern
- Wordfence einrichten: Firewall, Scan und Login-Schutz für WordPress konfigurieren
