Elementor enthält weiterhin das anfällige Swiper: Was CVE-2026-27212 für Ihre Website bedeutet

Swiper ist eine der beliebtesten Slider-Bibliotheken im Internet, und Elementor nutzt sie in allen seinen Karussells und Galerien. Im Februar 2026 behobene die Swiper-Entwickler eine kritische Sicherheitslücke CVE-2026-27212. Doch selbst Mitte Oktober enthält die neueste Elementor-Version 4.3.5 noch immer Swiper 8.4.5, in dem dieser Fix nicht enthalten ist.

Wir haben das bei unseren monatlichen Sicherheitsprüfungen entdeckt, die EvoEX für Kundenwebseiten durchführt. In diesem Artikel erklären wir, was genau kaputt ist, wie groß das tatsächliche Risiko ist und was Sie tun können, bis Elementor einen Fix veröffentlicht.

Was ist Swiper und warum ist es auf Ihrer Website

Swiper ist eine JavaScript-Bibliothek, die ziehbare Slider bereitstellt: Bild-Karussells, Testimonials-Slider, Produkt-Galerien. Elementor bindet es in sein Plugin ein (im Ordner elementor/assets/lib/swiper/v8/) und lädt es auf Seiten, auf denen ein Slider-Widget verwendet wird. Wenn Ihre Website mit Elementor gebaut ist, ist Swiper sehr wahrscheinlich auch darauf, auch wenn Sie davon nie gehört haben.

Was ist die Sicherheitslücke

CVE-2026-27212 ist eine „Prototype Pollution"-Sicherheitslücke und wird in der GitHub Security Database als kritisch eingestuft. Sie betrifft Swiper-Versionen von 6.5.1 bis 12.1.1; der Fix ist in Version 12.1.2 verfügbar, die am 18. Februar 2026 veröffentlicht wurde.

In einfachen Worten: Wenn ein Angreifer Swiper speziell präparierte Einstellungen eingeben kann, kann er die JavaScript-Basisobjekte im Browser verändern. Ein früherer Fix überprüfte verbotene Schlüsselnamen, konnte aber durch die Verwendung von Arrays umgangen werden. Die Folgen hängen davon ab, was sonst noch auf der Seite passiert, und im schlimmsten Fall könnte dies einen Weg zu bösartigem Code im Browser des Besuchers öffnen.

Warum hat Elementor das noch nicht behoben

Elementor nutzt immer noch Swiper Version 8, und ein Wechsel zur neuesten (derzeit 14.x) würde bedeutende Änderungen mit sich bringen, die bestehende Slider auf tausenden Websites brechen könnten. Deshalb bleibt die anfällige Version bereits etwa acht Monate lang im Plugin. Wir haben das am 15. Oktober überprüft: Elementor 4.3.5 und Elementor Pro 4.3.2 laden swiper.min.js?ver=8.4.5.

Wie groß ist das tatsächliche Risiko

Hier gibt es gute Nachrichten. Die Slider-Einstellungen in Elementor stammen aus dem Editor und können nur vom Website-Administrator oder Editor geändert werden. Ein normaler Besucher von außen kann sie nicht beeinflussen. Um diese Sicherheitslücke durch Elementor-Widgets auszunutzen, müsste ein Angreifer bereits Zugang zum Admin-Panel haben, und dann hätte er viel einfachere Wege, die Website zu beschädigen.

Das praktische Risiko für die meisten Elementor-Websites ist daher gering. Die Situation könnte anders sein, wenn die Website andere Plugins oder benutzerdefinierten Code hat, der Swiper-Einstellungen aus URL-Parametern oder Benutzereingaben erstellt.

Was Sie jetzt tun sollten

• Aktualisieren Sie Elementor und Elementor Pro auf die neuesten Versionen. Das behebt das Swiper-Problem zwar nicht, schließt aber andere, wie CVE-2026-32475 in Elementor Pro-Dateiuploads.
• Schützen Sie Admin-Konten: starke Passwörter und Zwei-Faktor-Authentifizierung für alle mit Zugang zum Editor. Das ist die Hauptverteidigungslinie gegen genau diese Sicherheitslücke.
• Überprüfen Sie andere Plugins, die Slider verwenden. Wenn eines davon eine eigene Swiper-Kopie lädt, stellen Sie sicher, dass es Version 12.1.2 oder neuer ist.
• Bearbeiten Sie Swiper-Dateien nicht manuell. Elementor funktioniert möglicherweise nicht mit einer neueren Swiper-Version, und das nächste Plugin-Update würde Ihre Reparatur sowieso überschreiben.

Wie wir das gefunden haben

Wir führen für EvoEX-Kundenwebsites monatlich automatisierte Sicherheitscans mit OWASP ZAP durch, um die Website von außen so zu prüfen wie ein potenzieller Angreifer: veraltete Bibliotheken, Sicherheits-Header, öffentlich zugängliche Dateien. Dieses Mal wurde Swiper 8.4.5 gefunden. Sobald Elementor eine Version mit dem behobenen Swiper veröffentlicht, werden die Websites unserer Kunden aktualisiert, und der nächste Scan wird dies bestätigen.

Wenn du herausfinden möchtest, ob deine Website ähnliche Schwachstellen aufweist, kontaktiere uns, und wir werden sie überprüfen.