WordPress-Gefahr: Hacker kauft über 30 Plugins, baut eine Backdoor ein

Letztes Jahr verkaufte ein seriöser Entwickler eine Sammlung von über 30 WordPress-Erweiterungen. Nutzer bekamen vom Besitzerwechsel nichts mit. Der neue Eigentümer integrierte jedoch eine Backdoor, um Traffic auf betrügerische Webseiten zu leiten.

Gefahr durch gekaufte Software

Die Nutzung von Software seriöser Unternehmen bietet keine absolute Sicherheit. Das zeigt ein aktueller Vorfall im Ökosystem von WordPress. Hier erwarb Anfang 2025 ein Käufer die EssentialPlugin-Reihe mit insgesamt etwa 30 Erweiterungen von einem indischen Entwickler. Die Nutzer bekamen von der Übernahme nichts mit. Der neue Besitzer integrierte prompt eine Backdoor in den Quellcode der Anwendungen.

Der Angriff erfolgte methodisch und mit viel Geduld. Mit dem Update auf Version 2.6.7, das als einfaches Kompatibilitäts-Update getarnt war, schleuste der Käufer bösartigen Code in der Skriptsprache PHP ein. Die Backdoor blieb acht Monate lang inaktiv, um keinen Verdacht bei den Seitenbetreibern zu erregen. Erst im April 2026 wurde die Schadsoftware aktiviert und begann mit der Manipulation.


Wie Anchor Hosting in einer Analyse berichtet, lieferte das System versteckten Spam zur Suchmaschinenoptimierung aus. Die Schadsoftware manipulierte die zentrale Konfigurationsdatei der Webseiten. Dadurch konnten die Angreifer unsichtbare Links platzieren, um das Ranking von betrügerischen Seiten in Suchmaschinen zu verbessern. Solche Methoden sind für Kriminelle äußerst attraktiv, da sie die Autorität legitimer Domains ausnutzen.

Strukturelle Schwächen im System

Der Fall offenbart ein grundlegendes Problem bei der Übergabe von Software. Der neue Eigentümer erbt direkt das Vertrauen und die Update-Rechte des ursprünglichen Entwicklers. Nutzer bleiben über den Besitzerwechsel im Dunkeln.

Die Verantwortlichen von WordPress haben mittlerweile reagiert und alle betroffenen Erweiterungen dauerhaft gesperrt. Ein erzwungenes Update auf Version 2.6.9.1 deaktivierte zwar die Kommunikation mit den Servern der Angreifer, entfernte jedoch nicht den schädlichen Code. Betroffene Anwender müssen ihre Dateien manuell bereinigen oder andere Plugins verwenden.

Zunehmende Angriffe

Solche Angriffe häufen sich in der gesamten Branche. Die Angreifer nutzten in dem aktuellen Fall sogar einen Smart Contract aus dem Ethereum-Netzwerk, um ihre Server vor einer Abschaltung zu schützen. Diese dezentrale Technik erschwert es den Sicherheitsbehörden erheblich, die Infrastruktur der Kriminellen vom Netz zu nehmen. Der Code ruft dabei dynamisch neue Adressen aus der Blockchain ab.

Während Plattformen für Pakete in JavaScript oder Python mittlerweile strenge Vorgaben wie eine Zwei-Faktor-Authentifizierung für Entwickler vorschreiben, fehlen solche Mechanismen bei WordPress bislang. Da über 40 Prozent aller Webseiten weltweit über WordPress laufen, ist das ein enormes Risiko. Das macht den systematischen Kauf von etablierten Erweiterungen zu einer hochgradig attraktiven und skalierbaren Methode für gut organisierte Cyberkriminelle.

Wie bewertet ihr die Sicherheit von Software nach solchen Vorfällen? Prüft ihr regelmäßig, wer hinter euren Programmen und Plugins steckt? Teilt eure Meinung gerne in den Kommentaren!


Siehe auch: