Die Angriffswelle gegen Super Forms begann laut Wordfence am 14. Juli 2026 und erreichte am 18. August 2026 ihren Höhepunkt mit mehr als 40.000 Ausnutzungsversuchen an einem einzigen Tag. Die Angriffe auf die Elementor-Pro-Lücke setzten kurz darauf ein, am 19. August 2026.
Der Ablauf bei CVE-2026-14894 ist von Wordfence detailliert dokumentiert: Die Angreifer senden eine HTTP-POST-Anfrage an “/wp-admin/admin-ajax.php” und rufen dabei den Endpunkt “super_submit_form” auf. Die Anfrage enthält ein Dateifeld mit einer Base64-kodierten PHP-Nutzlast und einem vom Angreifer bestimmten Dateinamen.
Obwohl die übermittelten Daten mit dem Inhaltstyp “data:image/gif;base64” gekennzeichnet sind, handelt es sich tatsächlich um eine PHP-Datei – eine Webshell mit Upload-Funktion, die unter dem Namen “Mushr00w_upl.php” abgelegt wird. Sie dient anschließend als Einfallstor, um weitere Schadkomponenten auf die Seite zu laden.
Beim Angriff auf Elementor Pro nutzen die Täter eine Schwäche in der Validierung aus. “Der Angreifer übermittelt das Datei-Upload-Feld des Formulars als Array, wobei das erste Element leer ist und das zweite Element eine PHP-Nutzlast mit einem Dateinamen auf .php trägt – genau diese Struktur löst die Umgehung der Validierung aus”, erklärt das auf WordPress-Sicherheit spezialisierte Unternehmen.
Ist die Datei geschrieben, landet sie im Verzeichnis “/wp-content/uploads/elementor/forms/” unter einem zufällig erzeugten Dateinamen, jedoch mit der vom Angreifer vorgegebenen Endung .php. “Der Angreifer kann sie anschließend direkt aufrufen und beliebige Befehle auf dem Server ausführen”, so Wordfence weiter.
Für beide Kampagnen hat Wordfence die beteiligten IP-Adressen als Indikatoren veröffentlicht. Betreibern betroffener Installationen empfiehlt das Unternehmen, die verfügbaren Patches sofort einzuspielen, die eigenen Seiten auf Kompromittierungsindikatoren zu durchsuchen und insbesondere die Upload-Verzeichnisse auf unerwartete oder kürzlich modifizierte PHP-Dateien zu prüfen.