Eine massive Welle von Angriffen auf WordPress gab es in der ersten Septemberwoche,  erklärt Defiant, Anbieter der Wordfence-Web-Firewall. Der plötzliche Anstieg der Angriffe erfolgte, nachdem Hacker eine Zero-Day-Schwachstelle in „File Manager“, einem beliebten WordPress-Plugin, das auf mehr als 700.000 Websites installiert ist, entdeckt und ausgenutzt hatten.

Bei der Zero-Day-Schwachstelle handelte es sich um eine nicht authentifizierte Schwachstelle beim Datei-Upload, die es einem Angreifer ermöglichte, bösartige Dateien auf eine Website hochzuladen, auf der eine ältere Version des Datei-Manager-Plugins lief.

Es ist unklar, wie Hacker den Zero-Day entdeckt haben, aber seit Anfang dieser Woche suchen sie nach Websites, auf denen dieses Plugin installiert sein könnte. Wenn eine Sondierung erfolgreich war, nutzten die Angreifer den Zero-Day aus und luden eine Web-Shell getarnt in einer Bilddatei auf den Server des Opfers hoch. Die Angreifer würden dann auf die Web-Shell zugreifen und die Website des Opfers übernehmen und sie in ein Botnetz einbinden.

„Die Angriffe auf diese Schwachstelle haben in den letzten Tagen dramatisch zugenommen“, sagte Ram Gall, Bedrohungsanalyst bei Defiant. Die Angriffe begannen langsam, verstärkten sich aber im Laufe der Woche, wobei Defiant allein am Freitag, dem 4. September, Angriffe gegen eine Million WordPress-Sites verzeichnete. Insgesamt, so Gall, habe Defiant seit dem 1. September, als die Angriffe erstmals entdeckt wurden, Angriffe auf mehr als 1,7 Millionen Websites blockiert.

Die 1,7 Millionen sind mehr als die Hälfte der Zahl der WordPress-Sites, die die Wordfence-Web-Firewall verwenden. Gall glaubt, dass das wahre Ausmaß der Angriffe noch viel größer ist, da WordPress auf Hunderten von Millionen von Websites installiert ist, die wahrscheinlich alle nach und nach durchsucht und gehackt werden.

Die gute Nachricht ist, dass das Entwicklerteam des Dateimanagers noch am selben Tag, an dem es von den Angriffen erfuhr, einen Patch für den Zero-Day erstellt und veröffentlicht hat. Einige Website-Eigentümer haben den Patch installiert, aber wie üblich hinken andere hinterher.

Es ist diese Langsamkeit beim Patchen, die das WordPress-Entwicklerteam kürzlich dazu veranlasst hat, eine Auto-Update-Funktion für WordPress-Themen und -Plugins hinzuzufügen. Beginnend mit WordPress 5.5, das letzten Monat veröffentlicht wurde, können Website-Eigentümer Plugins und Themen so konfigurieren, dass sie sich jedes Mal automatisch aktualisieren, wenn ein neues Update herauskommt, und sicherstellen, dass ihre Websites immer die neueste Version eines Themas oder Plugins ausführen und vor Angriffen geschützt sind.

ANZEIGE

So reagieren Sie auf die gestiegene Nachfrage von Online-Videos – Wichtige Erkenntnisse und Trends

Der von zahlreichen Ländern wegen der Coronakrise eingeführte Lockdown und die damit verbundene soziale Distanzierung haben neue Rekorde im Online-Videoverkehr gebracht. Erfahren Sie in diesem Webinar, wie Sie Daten untersuchen und quantifizieren, um die Belastung von Netzwerken und CDNs einzuschätzen.

ZDNet.de Redaktion

Recent Posts

Konsolidierte und strukturierte Daten für medizinische Versorgung

Telekom und vitagroup stellen Kliniken offene Plattform zur Verfügung, die Gesundheitsdaten unabhängig von einzelnen Herstellern…

5 Stunden ago

Zahl der Webauftritte sinkt wieder

Auch 2023 war kein gutes Jahr für die Hoster von KMU-Webseiten. Erneut schlossen viele Mittelständler…

5 Stunden ago

Pwn2Own: Google verteilt Sicherheitsupdate für Chrome

Es schließt zwei schwerwiegende Lücken, die eine Remotecodeausführung erlauben. Darüber hinaus stopft Google ein kritisches…

1 Tag ago

IT-Verzicht fürs Klima – wie viele sind dazu bereit?

Der Digitalverband Bitkom hat 1.000 Deutsche danach befragt, auf welche Angebote sie aus Gründen des…

1 Tag ago

BSI warnt Microsoft-Exchange-Nutzer

Laut Bundesamt sind mindestens 17.000 Instanzen in Deutschland durch eine oder mehrere kritische Schwachstellen verwundbar.

1 Tag ago

Apple kündigt Entwicklerkonferenz WWDC 2024 für 10. Juni an

Die Veranstaltung startet wie in jedem Jahr mit einer Keynote. Apple verspricht Neuerungen für alle…

1 Tag ago