Millionen Webseiten in Gefahr:
Angreifer nutzen Bug in Wordpress aus

Millionen Webseiten sind aktuell der Gefahr eines erfolgreichen Angriffs ausgesetzt. Denn in Wordpress, dem weltweit verbreitetsten Content Management System, ist ein Fehler bekannt geworden, für den schnell erste Exploits kursierten.

Auto-Updates helfen etwas

Betroffen von dem Problem sind im Grunde alle Webseiten, die auf Basis von Wordpress laufen und noch nicht mit den neuesten Updates versorgt wurden. Die WordPress-Entwickler hatten in der vergangenen Woche zwei als kritisch eingestufte Sicherheitslücken geschlossen und Betreiber von Webseiten dazu aufgefordert, ihre Installationen umgehend zu aktualisieren.

Aufgrund der Schwere der Sicherheitsprobleme wurden automatische Updates überall dort aktiviert, wo dies technisch möglich war, berichtet das US-Technologieportal TechCrunch. Dennoch berichten die Sicherheitsunternehmen Patchstack, Hexastrike und WatchTowr, dass die Schwachstellen inzwischen gezielt für Angriffe genutzt werden.


Wie viele Webseiten tatsächlich noch gefährdet sind, lässt sich derzeit nicht exakt beziffern. Verwundbar sind die WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1. Nach offiziellen Statistiken entfallen auf diese Versionen mehr als 400 Millionen Installationen. Wie viele von diesen bereits aktualisiert worden sind, lässt sich derzeit noch nicht genau sagen.

Aufgrund der forcierten automatischen Updates kommt der IT-Sicherheitsberater Daniel Card zu einer deutlich niedrigeren Schätzung, wie viele Webseiten tatsächlich bedroht sind. Nach einer Auswertung von rund 3500 WordPress-Webseiten geht er davon aus, dass weniger als 15 Prozent noch anfällig sind. Selbst auf dieser Grundlage könnten weltweit jedoch noch rund 90 Millionen Webseiten gefährdet sein.

Unbedingt Updaten!

Dass die Zahl nicht noch höher ausfällt, führt Card auf mehrere Schutzmaßnahmen zurück. Neben den automatisch verteilten WordPress-Updates trügen auch Schutzmechanismen von Cloudflare dazu bei, Angriffe auf verwundbare Webseiten abzuwehren. Zusätzlich profitierten viele Betreiber von Web Application Firewalls und anderen Sicherheitslösungen, die bekannte Angriffsversuche blockieren.

Automattic, das Unternehmen hinter WordPress.com und ein wichtiger Mitentwickler des Open-Source-Projekts, erklärte gegenüber TechCrunch, dass sämtliche von Automattic betriebenen Hosting-Angebote bereits vor der Veröffentlichung der Updates abgesichert gewesen seien. Nach Freigabe der Fehlerbehebungen seien diese sofort auf Millionen gehosteter Webseiten eingespielt worden. Wer selbst WordPress-Installationen betreibt, sollte darauf achten, dass diese auf die Version 7.0.2 aktualisiert werden.


Siehe auch: