Avada Builder: Kritische Lücke im Formular-Versand (CVE-2026-97670) – jetzt auf 3.16.2 aktualisieren

Wer ist betroffen

Betroffen sind Websites, auf denen Avada beziehungsweise der Fusion Builder bis Version 3.16.1 läuft und die ein veröffentlichtes Avada-Formular mit AJAX-Versand verwenden. Zusätzlich muss die Benachrichtigungs-E-Mail des Formulars Platzhalter wie [all_fields] oder einzelne [field]-Platzhalter enthalten. Laut den Berichten ist das die Standardkonfiguration, viele Kontaktformulare erfüllen die Bedingung also.

Avada ist ein weit verbreitetes Premium-Theme. Eine belastbare Installationszahl liegt uns nicht vor, wir nennen deshalb keine.

Was passiert technisch?

Beim Absenden eines Formulars verarbeitet der Fusion Builder bestimmte Platzhalter in Feldern. Laut Wordfence-Analyse (wiedergegeben von LinuxSecurity und VulDB) prüft eine Schutzabfrage nur einen Teil der übermittelten Daten. Dadurch kann ein Besucher ohne Anmeldung erreichen, dass das Plugin einen WordPress-Action-Hook ausführt, dessen Name aus dem Formularfeld stammt. WordPress-Hooks sind interne Einstiegspunkte, die eigentlich nur Code der Seite selbst auslösen soll.

Im Test wurde damit ein Kern-Hook ausgelöst, der Papierkorb-Inhalte endgültig löscht: Beiträge, Seiten und Kommentare, die im Papierkorb lagen, sind dann weg. Weitere Hooks könnten laut Berichten die Seite stören (Denial of Service) oder, wenn andere verwundbare Plugins installiert sind, weitergehende Schreibzugriffe ermöglichen. Ein Auslesen von Benutzer- oder Beitragsdaten ist nur „blind“ möglich, die Ausgabe geht an den Seitenbetreiber. Wir beschreiben hier bewusst keine Details der Ausnutzung.

Die Einstufung ist uneinheitlich: Die Quellen führen die Lücke als fehlende Autorisierung (CWE-285) beziehungsweise als Code-Injection (CWE-94). Der CVSS-Wert von 9.1 ergibt sich aus hoher Auswirkung auf Integrität und Verfügbarkeit, nicht auf Vertraulichkeit.

Was wird beobachtet?

Wordfence hat die Lücke am 09.10.2026 veröffentlicht, die Entwickler hatten bereits am 30.09.2026 Avada 7.16.2 ausgeliefert. Hinweise auf eine laufende Angriffswelle oder einen Eintrag im CISA-KEV-Katalog haben wir nicht gefunden. VulDB gibt einen niedrigen EPSS-Wert von 0,37 % an, OffSeq nennt 0,4 %. Das ist keine Entwarnung: Nach Veröffentlichung steigt das Risiko erfahrungsgemäß, weil Angreifer Patches vergleichen.

Die Quellen sind sich bei Version und Einstufung nicht einig, wie die folgende Tabelle zeigt. Wahrscheinlich meinen sie einmal das Theme (Avada 7.16.x) und einmal das Plugin (Fusion Builder 3.16.x). Das ist eine Annahme, kein Beleg.

Quelle;Betroffene Version;Einstufung
VulDB;bis 7.16.1;CWE-285 (fehlende Autorisierung)
OffSeq, Strix;bis 7.16.1;CVSS 9.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H), CWE-94 (Code-Injection)
Sandbox Dispatch;bis 7.16.1;kritisch
Really Simple Security, WPScan;Fusion Builder bis 3.16.1;kritisch, kein Zahlenwert

Das Avada-Changelog zu 7.16.2 beschreibt sechs Sicherheitskorrekturen allgemein, darunter „mögliche XSS und Injection in Avada Forms“. Eine Zuordnung zur CVE-Nummer steht dort nicht ausdrücklich.

So prüfen Sie, ob Sie betroffen sind

1. Version im Backend

Unter Avada > Status oder Plugins > Installierte Plugins die Version von „Avada Builder“ (Fusion Builder) ablesen. Alles bis 3.16.1 ist betroffen. Die Theme-Version steht unter Design > Themes.

2. Per WP-CLI

Syntax nach Dokumentation, bitte vor dem Einsatz in Ihrer Umgebung testen:

wp plugin list --fields=name,version,update
wp theme list --fields=name,version,update

3. Formulare finden

Prüfen Sie, welche Seiten Avada-Formulare mit AJAX-Versand nutzen. Nur diese sind laut Berichten angreifbar.

4. Papierkorb und Logs

Fehlen unerwartet Beiträge, Seiten oder Kommentare aus dem Papierkorb? Sehen Sie im Webserver-Log nach auffälligen POST-Anfragen an /wp-admin/admin-ajax.php seit dem 30.09.2026:

grep 'admin-ajax.php' access.log | grep POST | wc -l

5. Dateien und Benutzer

Suchen Sie kürzlich geänderte PHP-Dateien und prüfen Sie die Administratorkonten:

find wp-content -name '*.php' -mtime -14
wp user list --role=administrator --fields=ID,user_login,user_registered

Für diese Lücke gibt es keine Berichte über Webshells. Die Prüfung ist trotzdem sinnvoll, wenn Sie die Seite länger nicht gepflegt haben, denn Avada hatte im August 2026 eine weitere kritische Lücke (Dateischreiben, laut WPScan behoben in 3.16.1).

Was jetzt zu tun ist

1. Sofort: Backup (Dateien und Datenbank) erstellen, dann Avada auf 7.16.2 und den Fusion Builder auf 3.16.2 oder neuer aktualisieren.
2. Danach: Formular-Benachrichtigungen prüfen und nur die nötigen Felder statt [all_fields] verwenden. Das senkt die Angriffsfläche, ersetzt aber das Update nicht.
3. Wenn Sie nicht sofort aktualisieren können: AJAX-Formulare vorübergehend deaktivieren oder die Seiten mit Formularen per Firewall-Regel absichern.
4. Kontrolle: Papierkorb, Administratorkonten und geänderte Dateien prüfen, Backups aufbewahren.
5. Dauerhaft: Automatische Sicherheitsupdates und eine Sichtung der Plugin-Liste einplanen.

Fazit

Die Lücke ist kritisch bewertet, belegt ist bisher aber nur das Löschen von Papierkorb-Inhalten, und eine Ausnutzung in freier Wildbahn ist nicht bestätigt. Der Fix liegt seit dem 30.09.2026 vor. Wer Avada pflegt, ist mit einem Update erledigt. Wer es nicht pflegt, sollte jetzt handeln, bevor die Lücke interessanter für Angreifer wird.

Unser Angebot

Sie nutzen Avada und sind unsicher, ob Ihre Seite betroffen ist? Wir führen einen Sicherheitscheck durch: Versionen, Formulare, Logs, Dateien und Benutzer. Falls schon etwas passiert ist, helfen wir mit der Hack-Notfallhilfe. Bei laufender WordPress-Wartung übernehmen wir solche Updates für Sie.