Ein aktueller Lieferkettenangriff auf mehrere populäre WordPress-Plugins sorgt für erhebliche Besorgnis in der IT-Sicherheitsbranche. Sicherheitsforscher warnen davor, dass Angreifer manipulierte JavaScript-Dateien genutzt haben, um Backdoors auf verwundbaren WordPress-Websites zu installieren. Betroffen sind unter anderem die Plugins OptinMonster, TrustPulse und möglicherweise auch PushEngage.
Schadcode in legitimen Plugin-Dateien entdeckt
Die Sicherheitsfirma Sansec hat nach eigenen Angaben eine sogenannte Supply-Chain-Attacke aufgedeckt, die auf Produkte des Plugin-Herstellers Awesome Motive abzielt. Bei einem solchen Angriff wird nicht direkt die Zielwebsite angegriffen, sondern die Software-Lieferkette kompromittiert.
Den Forschern zufolge gelang es den Angreifern, schädlichen JavaScript-Code in legitime Dateien einzuschleusen, die über die Infrastruktur des Herstellers ausgeliefert werden. Die manipulierten Skripte werden anschließend automatisch in die Websites der Kunden eingebunden.
Besonders gefährlich: Der Schadcode bleibt zunächst unauffällig und wird erst aktiv, wenn sich ein Administrator im WordPress-Backend anmeldet. In diesem Moment erstellt das Skript ein verborgenes Administratorkonto sowie ein zusätzliches Backdoor-Plugin, das sich vor den üblichen Verwaltungswerkzeugen versteckt. Die Zugangsdaten werden anschließend an eine externe Domain übertragen, die einer legitimen Webseite täuschend ähnlich sieht.
Nach Angaben von Sansec läuft die Kampagne bereits seit dem 12. Juni 2026.
Millionen von Installationen im Fokus
Allein das Plugin OptinMonster ist auf mehr als einer Million WordPress-Websites installiert. Insgesamt schätzen die Forscher, dass bis zu 1,2 Millionen Webseiten potenziell gefährdet sein könnten.
Besondere Aufmerksamkeit gilt zudem weiteren Produkten des Herstellers Awesome Motive. Dazu gehören unter anderem:
- WPForms mit über sechs Millionen Installationen
- All in One SEO mit rund drei Millionen Installationen
- MonsterInsights mit etwa zwei Millionen Installationen
Bislang wurde Schadcode zwar nur in den Plugins OptinMonster, TrustPulse und möglicherweise PushEngage nachgewiesen. Sicherheitsexperten raten jedoch auch Nutzern anderer Produkte des Herstellers, ihre Systeme sorgfältig auf verdächtige Aktivitäten und bekannte Kompromittierungsindikatoren (Indicators of Compromise, IOC) zu überprüfen.
Hunderte Angriffsversuche registriert
Laut Sansec haben die Sicherheitsexperten von Patchstack bereits kurz nach Bekanntwerden des Vorfalls spezielle Erkennungsmechanismen entwickelt. Mit deren Hilfe wurden innerhalb weniger Stunden hunderte Angriffsversuche auf mehrere betroffene Websites registriert.
Die Forscher empfehlen allen Administratoren, die Plugins des Herstellers einsetzen, ihre Systeme zeitnah zu überprüfen und verdächtige Benutzerkonten oder unbekannte Plugins zu entfernen.
Hersteller bestätigt Sicherheitsvorfall
Inzwischen hat auch Awesome Motive Stellung zu dem Vorfall bezogen. Nach Angaben des Unternehmens gelangten die Angreifer an Zugangsdaten für das Content Delivery Network (CDN). Dadurch konnten sie manipulierte JavaScript-Dateien über die reguläre Infrastruktur des Anbieters ausliefern.
Der Hersteller betont jedoch, dass die eigentlichen Anwendungsserver, der Quellcode der Produkte sowie Systeme zur Speicherung von Kundendaten nicht kompromittiert wurden. Die Angreifer hätten lediglich Zugriff auf das CDN-Konto erhalten und die Schadsoftware für einige Stunden am 12. Juni 2026 verteilt.
Gefährdet seien vor allem jene Websites, die während dieses Zeitfensters die manipulierten Skripte geladen haben und auf denen sich gleichzeitig ein Administrator angemeldet hatte.
Awesome Motive hat inzwischen Maßnahmen zur Bereinigung eingeleitet und stellt betroffenen Kunden Anleitungen zur Verfügung, um kompromittierte Systeme wiederherzustellen.
Seltene, aber besonders gefährliche Angriffsmethode
WordPress-Plugins gehören seit Jahren zu den häufigsten Einfallstoren für Cyberangriffe. Regelmäßig werden Sicherheitslücken ausgenutzt, um Schadsoftware einzuschleusen oder Websites zu übernehmen.
Lieferkettenangriffe dieser Art gelten jedoch als vergleichsweise selten. Gerade deshalb sind sie besonders gefährlich, da sie vertrauenswürdige Softwarekanäle missbrauchen und eine große Zahl von Webseiten gleichzeitig gefährden können.
Für Betreiber von WordPress-Websites unterstreicht der aktuelle Vorfall einmal mehr die Bedeutung regelmäßiger Sicherheitsprüfungen, einer sorgfältigen Überwachung installierter Plugins sowie zeitnaher Reaktionen auf Sicherheitswarnungen.
Schreiben Sie einen Kommentar