Widerrufsbutton ab Freitag + WordPress CVSS 9.8

Öffne dein WordPress-Dashboard. Schau unter Plugins nach verfügbaren Updates. Siehst du WP Maps Pro oder Everest Forms Pro in der Liste? Dann ist das kein normales Pflege-Update. Beide Plugins haben aktiv ausgenutzte Lücken mit CVSS-Score 9.8 von 10 möglichen Punkten. Gleichzeitig wird der Widerrufsbutton übermorgen, am Freitag dem 19. Juni, Pflicht.

Heute ist Mittwoch, der 17. Juni 2026. Übermorgen tritt § 356a BGB in Kraft. Gleichzeitig wurden in den letzten Wochen zwei kritische WordPress-Plugin-Lücken aktiv von Angreifern ausgenutzt. Alle drei Themen haben eines gemeinsam: Sie sind nicht theoretisch. Sie passieren gerade. Als Webentwickler aus der Region Oldenburg beobachte ich beide Entwicklungen bei Betrieben aus Ganderkesee, Wildeshausen und Umgebung.

Widerrufsbutton: Übermorgen ist Pflicht, nicht Kür

Ab Freitag, dem 19. Juni 2026, verpflichtet § 356a BGB alle B2C-Online-Händler zu einer elektronischen Widerrufsfunktion. Es gibt keine Übergangsfrist. Es gibt keine Schonfrist. Wer am Freitag keinen Button hat, ist ab dem ersten Tag abmahnbar.

Die Anforderungen sind konkret: Der Button muss gut sichtbar sein. Ein unauffälliger Textlink im Footer genügt ausdrücklich nicht. Er muss zweistufig sein: "Vertrag widerrufen" führt zu "Widerruf bestätigen". Und er muss eine DSGVO-konforme Eingangsbestätigung per E-Mail auslösen. Wer nach dem Widerruf keine Bestätigungs-Mail bekommt, hat eine fehlerhafte Implementierung.

Rechtsexperten erwarten schnelle Abmahnwellen. Der Vergleich liegt nahe: Beim Kündigungsbutton nach § 312k BGB folgten Abmahnungen unmittelbar nach dem Stichtag, weil das Fehlen von außen ohne Kundeninteraktion feststellbar ist. Beim Widerrufsbutton ist das genauso. Ein Abmahner muss nicht widerrufen. Er muss nur prüfen ob der Button vorhanden und korrekt implementiert ist.

Was ich bei Website-Checks in der Region häufig sehe: Betriebe die den Widerrufsbutton auf ihrer Aufgabenliste haben, aber noch nicht umgesetzt haben. Die Begründung ist meistens: "Ich mache das noch rechtzeitig." Rechtzeitig ist jetzt.

Wie ich bereits im Artikel zum 33-Tage-Countdown ausgeführt habe: Shopware hat seit Version 6.7.9.0 eine native Lösung. WooCommerce und Shopify brauchen Plugins oder Apps, die vor dem Stichtag getestet werden müssen. Nicht nur installiert, sondern getestet: Button sichtbar, zweistufiger Prozess, Bestätigungs-E-Mail wird versendet und kommt an.

WP Maps Pro: CVSS 9.8, Admin-Account-Erstellung per HTTP-Request

Wordfence hat eine kritische Lücke in WP Maps Pro offengelegt: CVE-2026-8732, CVSS-Score 9.8. Die Lücke betrifft alle Versionen bis einschließlich 6.1.0 und wurde in Version 6.1.1 gepatcht, erschienen am 20. Mai 2026.

Was die Lücke tut: Ein unauthentifizierter Angreifer kann per einzelnem HTTP-Request ein Administrator-Konto auf der Website anlegen. Der fehlerhafte wpgmp_temp_access_ajax-Endpunkt ist nur durch eine öffentlich sichtbare Nonce "geschützt". Eine Nonce die jeder Besucher im Seitenquelltext lesen kann, ist kein Schutz. Es ist Sicherheitstheater.

Wordfence hat in den ersten 24 Stunden nach der Offenlegung 2.858 blockierte Angriffe auf diese Lücke gezählt. Das bedeutet: Angreifer scannen das Web aktiv nach verwundbaren Installationen. Sie warten nicht auf einen günstigen Zeitpunkt. Sie suchen automatisiert.

Was zu tun ist: Im WordPress-Dashboard unter Plugins prüfen ob WP Maps Pro installiert ist. Wenn ja, welche Version. Update auf 6.1.1 oder höher. Danach: Nutzerliste unter "Benutzer" im Dashboard auf unbekannte Administrator-Konten prüfen. Wenn ein fremdes Admin-Konto vorhanden ist, wurde die Website möglicherweise bereits kompromittiert.

Everest Forms Pro: RCE und über 29.000 Angriffe in wenigen Wochen

Die zweite kritische Lücke dieser Woche: CVE-2026-3300 in Everest Forms Pro, ebenfalls CVSS 9.8. Diesmal geht es nicht nur um Admin-Account-Erstellung. Es geht um Remote Code Execution. Angreifer können beliebigen Code auf dem Server ausführen.

Die Lücke steckt in der Complex-Calculation-Funktion des Plugins. Angreifer nutzen sie um sich ein Admin-Konto anzulegen, typischerweise mit dem Benutzernamen "diksimarina". Das ist ein Erkennungsmerkmal das bei der Prüfung hilft. Der Patch ist seit dem 18. März 2026 in Version 1.9.13 verfügbar.

Die Zahlen sind alarmierend. Laut The Hacker News waren es bis Juni 2026 über 29.300 Angriffe. Der Spitzentag war der 16. Mai mit über 17.900 Angriffen in 24 Stunden. Seit dem 13. April gibt es Massenausnutzung. Das sind keine isolierten Versuche. Das ist eine koordinierte Angriffswelle.

Was das für lokale Betriebe bedeutet: Wenn du Everest Forms Pro installiert hast und nicht seit März geupdated hast, besteht die realistische Möglichkeit dass deine Website bereits ein Einfallstor war. Das klingt drastisch, ist aber die nüchterne Einordnung der Zahlen.

Was zu tun ist: Update auf Version 1.9.13 oder höher sofort. Benutzerliste auf "diksimarina" oder andere unbekannte Admin-Konten prüfen. Wenn Auffälligkeiten gefunden werden, braucht es eine vollständige Prüfung der Installation.

Was der Patchstack-Bericht 2026 sagt: Plugins sind das Einfallstor

Die beiden Lücken sind kein Zufall. Sie sind das Ergebnis einer systemischen Schwäche im WordPress-Ökosystem die der Patchstack State of WordPress Security 2026-Bericht (veröffentlicht 25. Februar 2026) in Zahlen fasst.

Im Jahr 2025 wurden 11.334 neue Schwachstellen im WordPress-Ökosystem gefunden. Das ist ein Anstieg von 42 Prozent gegenüber 2024. Davon stammen 91 Prozent aus Plugins. Nur 2 Schwachstellen betrafen den WordPress-Core selbst. Wer also denkt "ich habe WordPress 7.0, das ist sicher", versteht das Problem nicht. Der Core ist meistens sicher. Das Plugin-Ökosystem ist das Einfallstor.

Besonders beunruhigend ist die Zeitkomponente. Laut Patchstack beträgt die gewichtete Median-Zeit bis zum ersten Exploit 5 Stunden nach der öffentlichen Offenlegung einer Schwachstelle. 20 Prozent werden innerhalb von 6 Stunden ausgenutzt, 45 Prozent innerhalb von 24 Stunden, 70 Prozent innerhalb von 7 Tagen. Und 46 Prozent der gemeldeten Schwachstellen erhielten keinen Patch vom Entwickler bis zur öffentlichen Offenlegung.

Das bedeutet: Wenn eine Lücke in einem Plugin veröffentlicht wird, hat ein durchschnittlicher WordPress-Betreiber im besten Fall wenige Stunden Zeit um zu updaten bevor Angreifer suchen. In der Praxis bemerken viele das Update gar nicht, weil sie nicht täglich im Dashboard sind.

Prioritäten für die nächsten 48 Stunden

Heute, Mittwoch 17. Juni, sind noch zwei Tage bis zum Widerrufsbutton-Stichtag. Die WordPress-Lücken sind bereits seit Wochen aktiv ausgenutzt. Die Prioritäten sind klar.

Heute noch: WP Maps Pro und Everest Forms Pro im WordPress-Dashboard prüfen. Wenn installiert und unter der gepatchten Version: sofort updaten. Anschließend Benutzerliste prüfen. Das dauert fünf Minuten.

Morgen, Donnerstag: Widerrufsbutton final testen. Nicht nur ob er da ist. Ob er funktioniert: Zwei-Stufen-Prozess, Bestätigungs-E-Mail kommt an, Button ist gut sichtbar und nicht hinter einem Login. Wenn das alles stimmt, bist du für Freitag bereit.

Was viele vergessen: Die E-Mail-Bestätigung nach dem Widerruf. Der Button selbst ist schnell eingebaut. Die Eingangsbestätigung ist eine separate technische Komponente. Bei WooCommerce zum Beispiel muss ein Plugin den Widerruf entgegennehmen und eine transaktionale E-Mail auslösen. Das ist nicht dasselbe Plugin das den Button anzeigt.