In WordPress klaffen mehrere Schwachstellen gleichzeitig. Angreifer können darüber Cross-Site-Scripting-Angriffe fahren, ihre Rechte im System ausweiten, an Informationen kommen, die sie nichts angehen, und Sicherheitsvorkehrungen umgehen. Verantwortlich dafür sind unter anderem Server Side Request Forgery (SSRF), CSS Injection sowie Reflected und Stored XSS.
Die Kombination ist unangenehmer, als die einzelnen Bausteine klingen. Stored XSS bedeutet, dass sich Schadcode dauerhaft in der Seite ablegen lässt und bei jedem Aufruf wieder ausgeführt wird, im Zweifel auch im Browser eines angemeldeten Administrators. Zusammen mit einer Rechteausweitung wird aus einem Kommentarfeld schnell ein Adminzugang. SSRF wiederum lässt den Webserver Anfragen an Ziele stellen, die von außen gar nicht erreichbar wären. In geteilten Hosting-Umgebungen und überall dort, wo interne Dienste hinter der Anwendung liegen, ist genau das der interessante Teil für Angreifer.
Was du jetzt tun solltest
Bring WordPress auf den aktuellen Stand, und zwar den Kern genauso wie Plugins und Themes. Die meisten erfolgreichen Angriffe auf WordPress-Installationen laufen nicht über exotische Zero-Days, sondern über Versionen, die seit Monaten kein Update gesehen haben.
Aktivier danach die automatischen Updates zumindest für Sicherheitsreleases. Wirf außerdem einen Blick auf deine Benutzerliste: Jedes Konto mit Administratorrechten, das niemand mehr braucht, ist ein Ziel weniger. Wenn du unsicher bist, ob eine Installation bereits angefasst wurde, achte auf neu angelegte Adminkonten, unbekannte Dateien im Upload-Verzeichnis und Änderungen an Theme-Dateien.