In WordPress wurden zwei Sicherheitslücken entdeckt, die sich kombinieren lassen, um ohne gültige Anmeldung Schadcode auf dem betroffenen Webserver auszuführen. Das macht die Kombination beider Schwachstellen besonders gefährlich, denn ein Angreifer braucht kein Konto auf dem Zielsystem.
Aktiv ausgenutzt
Berichten zufolge nutzen Angreifer diese Lücken bereits aktiv aus. Wer WordPress betreibt, sollte dringend auf die aktuelle Version aktualisieren und prüfen, ob das System bereits kompromittiert wurde. Hinweise darauf sind meist manipulierte PHP-Dateien, neu angelegte Administratorkonten oder unbekannte Cronjobs.
Was du jetzt tun solltest
Spiele verfügbare Sicherheitsupdates sofort ein. Prüfe außerdem Zugriffsrechte, installierte Plugins und ungewöhnliche Dateiänderungen auf deinem Server. Plugins und Themes, die nicht mehr gepflegt werden, sollten entfernt oder durch aktiv gewartete Alternativen ersetzt werden. FameSystems empfiehlt, WordPress-Installationen grundsätzlich automatisch auf Sicherheitsupdates zu konfigurieren, damit solche Lücken nicht lange offen stehen.