Abo
  • Services:
Anzeige
Im Wordpress-Plugin Mailpoet steckt eine gefährliche Sicherheitslücke.
Im Wordpress-Plugin Mailpoet steckt eine gefährliche Sicherheitslücke. (Bild: Wordpress.org/Screenshot: Golem.de)

Angriff über Plugin: Zahlreiche Wordpress-Webseiten wurden kompromittiert

Über das Mailpoet-Plugin wurden anscheinend bereits mehrere Zehntausend Wordpress-Webseiten mit Schadsoftware versehen. Der Angriff funktioniert laut den Entdeckern auch, wenn das Plugin nicht aktiv ist.

Anzeige

Ein recht beliebtes Plugin hat eine folgenschwere Sicherheitslücke, die auf Wordpress basierende Webseiten gefährden kann. Zwar wurde die Sicherheitslücke schon Anfang Juli gestopft, viele Webseitenbetreiber nahmen diese Lücke jedoch nicht ernst oder wussten nichts von ihr. Sucuri berichtet derzeit von laufenden Angriffen auf Webseiten, die das Wordpress-Plugin Mailpoet nutzen. Sucuri selbst hat die Sicherheitslücke entdeckt und die Entwickler rechtzeitig benachrichtigt.

Immerhin fast 2 Millionen Downloads listet Wordpress.org für das Plugin, das unter anderem Newsletter verschicken kann. Entsprechend ist das Schadenspotenzial sehr hoch, denn die Webseiten, die das Plugin einsetzen, bieten den Angreifern zahlreiche Besucher. Das bedeutet allerdings nicht, dass 2 Millionen Webseiten betroffen sind, da viele Nutzer das Plugin hin und wieder aktualisieren und der Download so mehrfach gezählt wird.

Angreifbar sind Plugin-Versionen, die älter als die Version 2.6.7 sind. Allerdings mussten die Entwickler auch mit der Version 2.6.8 eine Sicherheitslücke beseitigen. Wer das Plugin einsetzt, sollte am besten auf die Version 2.6.9 aktualisieren.

Der Angriff selbst läuft anscheinend seit etwas über einer Woche und der Angriffscode offenbarte sich über Fehler im Code. Wer auch immer dahinter steckt, hat zahlreiche Webseiten beim Versuch der Übernahme beschädigt. Dabei muss Mailpoet nicht für die eigene Webseite aktiv sein. Es genügt, wenn eine Nachbarwebseite das Plugin verwendet.

Nach erfolgreicher Infektion haben die Angreifer die volle Kontrolle über die Webseite. Was sie damit anstellen, darüber berichtet Sucuri nicht. Es bietet sich aber beispielsweise an, über die kompromittierten Webseiten Schadsoftware an Besucher zu verteilen und diesen Vorgang etwa über Sicherheitslücken in Browsern oder dem Flashplayer zu vereinfachen. Auch als Plattform für Social-Engineering bieten sich die Webseiten an, die als legitime Links in diversen Spammails auftauchen.


eye home zur Startseite
eskimo 25. Jul 2014

Naheliegend (im doppelten Wordsinn:-) wären Sites, die auf dem gleichen account bzw...



Anzeige

Stellenmarkt
  1. Daimler AG, Leinfelden-Echterdingen
  2. Bundesnachrichtendienst, München
  3. Zühlke Engineering GmbH, München, Stuttgart, Hannover
  4. Bundeskriminalamt, Wiesbaden


Anzeige
Hardware-Angebote
  1. 179,00€ + 1,99€ Versand
  2. 81,50€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  2. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  3. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Apple

    iOS 10.3 sucht nach verlorenen Airpods

  2. Beta 1

    MacOS Sierra 10.12.4 mit Blaulichtfilter als Nachtmodus

  3. Spielebranche

    Goodgame Studios entlässt weitere 200 Mitarbeiter

  4. Project Scorpio

    Neue Xbox ohne ESRAM, aber mit Checkerboard

  5. DirectX 12

    Microsoft legt Shader-Compiler offen

  6. 3G-Abschaltung

    Telekom-Mobilfunkverträge nennen UMTS-Ende

  7. For Honor

    PC-Systemanforderungen für Schwertkämpfer

  8. Innogy

    Telekom will auch FTTH anmieten

  9. Tissue Engineering

    3D-Drucker produziert Haut

  10. IBM-Übernahme

    Agile 3 bringt Datenübersicht in die Chefetage



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Donald Trump: Ein unsicherer Deal für die IT-Branche
Donald Trump
Ein unsicherer Deal für die IT-Branche
  1. Potus Donald Trump übernimmt präsidiales Twitter-Konto
  2. USA Amazon will 100.000 neue Vollzeitstellen schaffen
  3. Trump auf Pressekonferenz "Die USA werden von jedem gehackt"

Begnadigung: Danke, Chelsea Manning!
Begnadigung
Danke, Chelsea Manning!
  1. Die Woche im Video B/ow the Wh:st/e!
  2. Verwirrung Assange will nicht in die USA - oder doch?
  3. Whistleblowerin Obama begnadigt Chelsea Manning

Mi Mix im Test: Xiaomis randlose Innovation mit kleinen Makeln
Mi Mix im Test
Xiaomis randlose Innovation mit kleinen Makeln
  1. Smartphone-Hersteller Hugo Barra verlässt Xiaomi
  2. Xiaomi Mi Note 2 im Test Ein Smartphone mit Ecken ohne Kanten

  1. Re: Unverständlich

    Thegod | 00:24

  2. Re: Also im Grunde genau so gut wie die PS4 Pro?

    Thegod | 00:22

  3. Re: Gab es das nicht als App?

    Keksmonster226 | 00:20

  4. Clickbait Artikel der den Sinn der Quelle nicht...

    Thegod | 00:20

  5. OT: Gibts die AirPods auch in Schwarz?

    jayjay | 00:18


  1. 22:59

  2. 22:16

  3. 18:21

  4. 18:16

  5. 17:44

  6. 17:29

  7. 16:57

  8. 16:53


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel