Die Sicherheitsforscher von Wordfence stufen CVE-2026-18431 als kritisch ein, schränken die praktische Reichweite jedoch deutlich ein: Für einen Angriff müssen auf der Zielseite sowohl eine verwundbare Version des Avada-Themes als auch eine verwundbare Version des Plugins Fusion Builder aktiv sein. Avada ist mit mehr als einer Million verkaufter Lizenzen zwar sehr verbreitet, diese Voraussetzung verkleinert den Kreis möglicher Ziele aber erheblich.
Technisch handelt es sich nicht um einen einzelnen Fehler, sondern um sechs Schwachstellen, die in einer festgelegten Abfolge miteinander verkettet werden. Betroffen sind Prüfungen der Autorisierung, die Validierung von Eingaben, Vertrauensgrenzen zwischen Komponenten sowie die Verarbeitung von Dateien. Erst das Zusammenspiel aller Schritte führt zur Ausführung beliebigen PHP-Codes auf dem Server — und zwar ohne vorherige Anmeldung und ohne Zutun eines Nutzers.
Bemerkenswert ist der Weg, auf dem die Kette entdeckt wurde: Wordfence setzte dafür ein internes agentisches Framework namens Argus ein. Dieses fand nicht nur die sechsstufige Abfolge, sondern entwickelte auch einen funktionsfähigen Proof-of-Concept-Exploit — insgesamt in rund zwei Stunden.
Argus reproduzierte die Schwachstelle am 30. Juli erfolgreich. Am 5. August übermittelten die Forscher die vollständigen Details an den Hersteller, ThemeFusion bestätigte den Bericht am 10. August. Die Korrekturen erschienen gestern mit Avada 7.16.1 und Fusion Builder 3.16.1.
Wer Avada zusammen mit Fusion Builder betreibt, sollte beide Komponenten auf die gepatchten Versionen bringen. Solange dies nicht geschehen ist, bleibt der Angriffspfad offen — Wordfence verzichtet ausdrücklich auf die Veröffentlichung der vollständigen technischen Details, um Betreibern Zeit für die Aktualisierung zu verschaffen.
Die möglichen Folgen einer Ausnutzung beschreiben die Forscher als vollständige Kompromittierung der betroffenen Website. Angreifer könnten Schadsoftware hinterlegen, auf angebundene Datenbanken zugreifen, Besucher auf bösartige Seiten umleiten oder sich selbst dauerhafte Administratorzugänge einrichten.