Wer WordPress betreibt, sollte jetzt prüfen, ob die Instanzen aktuell sind. Am Mittwoch haben die Entwickler Updates veröffentlicht, die mehrere Sicherheitslücken im CMS schließen. Schon kurz danach tauchten erste Angriffsversuche auf eine der Schwachstellen auf, wie das auf WordPress spezialisierte Sicherheitsunternehmen Wordfence berichtet.
Die Ankündigung zu WordPress 7.1.4 nennt knapp zwei Dutzend geschlossene Lücken. Die Korrekturen gibt es auch als Backports für ältere Zweige, und zwar in den Versionen 4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11 und 7.0.8.
Schadcode während des Updates
Die bereits angegriffene Lücke hat mit dem Update-Vorgang selbst zu tun. Der WordPress-Core nutzt beim Einspielen von Core-Updates einen vorhersehbaren Pfad, der aus dem Internet erreichbar ist. Nicht angemeldete Angreifer können darüber während eines laufenden Upgrades Schadcode einschleusen und ausführen (CVSS 8.1, Risiko hoch). Eine CVE-Nummer gab es zum Zeitpunkt der Meldung noch nicht.
Auf den ersten Blick wirkt das exotisch. Angreifer müssen ein Wettrennen gegen die Installation und deren Aufräumroutinen gewinnen, im Labor war das Staging-Verzeichnis nur wenige Sekunden erreichbar. Trotzdem hat Wordfence bereits aktive Versuche gemessen. In den ersten 21 Stunden nach Einführung einer passenden Firewall-Regel zählte das Unternehmen mehr als 18.500 Anfragen, die nach anfälligen Installationspfaden mit setup-config.php suchten. Zwei besonders aktive Quellen fragten kleine Gruppen von WordPress-Sites rund 14,5 Stunden lang immer wieder ab. Andere variierten Staging-Pfade und Versionsnamen.
Warum automatische Updates hier mitspielen
Dass solche Versuche überhaupt Chancen haben, liegt auch an den automatischen Updates. WordPress sucht standardmäßig selbst nach neuen Versionen, lädt sie herunter und installiert sie. Anfällig ist allerdings nur ein Upgrade mit dem vollständigen Core-Paket, das WordPress in ein vorhersehbares Verzeichnis unterhalb von wp-content/upgrade entpackt.
Was Du jetzt tun solltest
Prüf, ob Deine Instanzen die aktuelle Version wirklich installiert haben, und hol das Update sonst zügig nach. War es noch nicht eingespielt, lohnt sich ein Blick auf mögliche Einbrüche. Hinweise können in den Logdateien stecken. Verdächtig sind außerdem:
- unerwartete PHP-Dateien unterhalb von wp-content/upgrade
- unbekannte Admin-Konten
- Plug-ins, die Du nicht installiert hast
- PHP-Dateien, die niemand aus Deinem Team abgelegt hat
Schon Ende September hatte WordPress eine Lücke geschlossen, die nur Stunden nach dem Patch angegriffen wurde. Das Muster wiederholt sich also, und das Zeitfenster zum Patchen bleibt klein.