LatePoint: SQL-Injection ohne Login (CVE-2026-96662) – jetzt auf die aktuelle Version aktualisieren

Wer ist betroffen?

Alle Websites, die LatePoint für Terminbuchungen einsetzen, z. B. Friseure, Praxen, Beratungen, Studios und Dienstleister, und noch Version 5.7.2 oder älter nutzen. Laut wordpress.org sind es über 100.000 aktive Installationen. Weil das Buchungsformular öffentlich erreichbar sein muss, lässt sich die Lücke nicht durch „nur Admins haben Zugriff“ entschärfen. Wer bereits automatische Updates aktiv hat, dürfte seit Ende September/Anfang Oktober versorgt sein. Das sollten Sie trotzdem prüfen.

Was passiert technisch?

Beim Buchungsablauf nimmt das Plugin einen Parameter für die gewählte Leistung entgegen (booking[service_id]). Dieser Wert wurde laut CVE-Beschreibung nicht ausreichend abgesichert, bevor er in eine Datenbankabfrage einfloss. Dadurch kann ein Angreifer ohne Konto zusätzliche Datenbankabfragen einschleusen. Das nennt man SQL-Injection. Folge ist, dass Inhalte der WordPress-Datenbank ausgelesen werden können, etwa Kundendaten aus Buchungen, E-Mail-Adressen oder, je nach Konfiguration, Zugangsdaten-Hashes. Eine Anleitung zum Ausnutzen geben wir bewusst nicht. Die Lücke ist ein Fehler vom Typ „fehlendes Prepared Statement“, den der Hersteller mit einer korrekten Parametrisierung behebt.

Zur Einordnung: Laut den von uns gelesenen Quellen bezieht sich die Einstufung „nur Lesen“ auf den CVSS-Vektor. In der Praxis kann ein Datenabfluss Folgeangriffe erleichtern.

Was wird beobachtet?

Stand heute haben wir keine Quelle gefunden, die eine Ausnutzung in freier Wildbahn oder einen öffentlichen Exploit belegt. Der EPSS-Wert (Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen) liegt laut VulDB bei 0,00387, also niedrig. Unauthentifizierte SQL-Injections in verbreiteten Plugins werden erfahrungsgemäß aber nach Veröffentlichung zügig automatisiert gesucht. Das ist unsere Einschätzung, kein Beleg. Fakten dazu ändern sich schnell. Prüfen Sie daher den Patchstack-Eintrag und die Wordfence-Datenbank auf Updates.

Ein Hinweis zu den Zahlen: Die Schwere wird nicht einheitlich bewertet, wie die folgende Tabelle zeigt.

Quelle;CVSS;Einstufung;Vektor
VulDB, OffSeq, Strix;7.5;hoch;AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Vulners (PT-2026-109607);5.7;mittel;nicht angegeben

So prüfen Sie, ob Sie betroffen sind

1. Version im Backend

WordPress-Admin → Plugins → LatePoint. Version 5.7.2 oder niedriger = betroffen. Ziel: 5.7.4 oder neuer.

2. Per WP-CLI

wp plugin list --name=latepoint --fields=name,status,version,update_version
wp plugin verify-checksums latepoint

3. Per Dateisystem

Die Version steht im Plugin-Header:

grep -m1 -i '^Version:' wp-content/plugins/latepoint/latepoint.php

4. Verdächtige PHP-Dateien in Uploads

Im Upload-Ordner sollten normalerweise keine PHP-Dateien liegen:

find wp-content/uploads -name '*.php'
find . -type f -name '*.php' -mtime -7 -not -path '*/plugins/*'

5. Logs

Prüfen Sie die Webserver-Zugriffslogs auf auffällig viele Anfragen an Buchungsendpunkte, z. B. so:

grep -i 'latepoint' access.log | less

Sehr lange oder ungewöhnliche Parameterwerte, viele Anfragen derselben IP und Serverfehler (HTTP 500) zu diesen Anfragen sind Hinweise. Die Auswertung hängt von Ihrem Logformat ab.

6. Benutzerkonten

Suchen Sie nach unbekannten Administratoren oder neu angelegten Konten:

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Was jetzt zu tun ist

1. Backup von Dateien und Datenbank anlegen (Hoster-Snapshot oder Backup-Plugin).
2. LatePoint aktualisieren auf 5.7.4 oder neuer. Zuerst auf einer Staging-Kopie testen, wenn Sie Buchungs-Add-ons oder Anpassungen nutzen. Das Plugin hat in letzter Zeit sehr häufig Sicherheitsupdates erhalten (laut Changelog 22.09., 29.09. und 05.10.2026). Updates sollten daher nicht liegenbleiben.
3. Automatische Updates für das Plugin aktivieren, falls betriebliche Gründe nicht dagegen sprechen.
4. Prüfen (siehe oben): Benutzer, Dateien, Logs. Bei Auffälligkeiten Passwörter aller Administratoren ändern, Salts in der wp-config.php erneuern und Zugangsdaten zur Datenbank rotieren.
5. Kundendaten: Wenn Hinweise auf Datenabfluss bestehen, prüfen Sie Ihre Meldepflichten nach DSGVO (Art. 33/34). Das ist keine Rechtsberatung. Holen Sie bei Zweifeln Rat ein.
6. Zwischenschutz: Ein Web-Application-Firewall-Dienst kann zwischenzeitlich helfen, ersetzt aber das Update nicht.

Fazit

Kein Grund zur Panik: Nach unserem Stand gibt es keinen Beleg für Angriffe. Aber eine Lücke ohne Login in einem Plugin mit über 100.000 Installationen sollten Sie nicht liegen lassen. Version prüfen, aktualisieren, kurz kontrollieren: Das ist in der Regel in unter einer Stunde erledigt.

Unser Angebot

Sie möchten das nicht selbst prüfen oder betreuen mehrere Websites? Wir führen einen Sicherheitscheck durch (Plugin-Stände, Benutzer, Dateien, Logs) und übernehmen auf Wunsch die laufende WordPress-Wartung mit Updates, Backups und Monitoring. Bei Verdacht auf einen Hack helfen wir mit der Hack-Notfallhilfe.