BSI warnt vor kritischer WordPress-Lücke
Zwei Schwachstellen ergeben zusammen eine Übernahme ohne Login. Wer betroffen ist und was jetzt zu tun ist.
Das Bundesamt für Sicherheit in der Informationstechnik hat für eine WordPress-Schwachstellenkette die Warnstufe Orange ausgegeben. Der Grund: Zwei einzeln betrachtet unauffällige Lücken ergeben zusammen einen Weg vom anonymen Zugriff bis zur Codeausführung auf dem Server – ganz ohne Anmeldung.
Was betroffen ist
Betroffen sind die Versionen 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Wer eine ältere Version als 6.8 betreibt, ist von dieser Kette nicht betroffen – was ausnahmsweise einmal für veraltete Installationen spricht, sonst aber kein Argument ist.
Der Punkt, der leicht übersehen wird
Die Version 6.8.6 schließt nur eine der beiden Lücken. Wer auf diesem Zweig bleibt und das Update einspielt, hat die Sache nur zur Hälfte erledigt. Sicher sind 6.9.5 und 7.0.2.
Was jetzt zu tun ist
Prüfen Sie zuerst, ob Ihre Installation automatisch aktualisiert wurde. Falls nicht, spielen Sie das Update manuell ein. Wer nicht rechtzeitig aktualisiert hat, sollte zusätzlich nach Spuren einer Übernahme suchen: neue Administratorkonten, ungewöhnliche Zugriffe auf API-Pfade, veränderte Dateien im Theme-Verzeichnis.
Im Verdachtsfall reicht das Zurücksetzen der Passwörter nicht aus. Tauschen Sie auch die Schlüssel und Salts in der Konfigurationsdatei, sonst bleiben bestehende Sitzungen gültig.
Die grundsätzliche Frage
WordPress ist selbst selten das Problem. Die Angriffsfläche entsteht durch Erweiterungen, von denen viele nicht mehr gepflegt werden. Wer eine Website betreibt, die im Kern aus Text und Bildern besteht, braucht dafür kein System mit Datenbank und Anmeldeformular im Netz. Eine statisch erzeugte Seite hat diese Lückenklasse schlicht nicht.