WordPress schließt Schadcode-Lücke nach beobachteten Exploit-Versuchen
WordPress-Entwickler haben am Mittwoch Sicherheitsupdates für das Content-Management-System veröffentlicht; kurz danach wurden erste Angriffsversuche auf eine der geschlossenen Schwachstellen beobachtet. Die Lücke ermöglicht nicht authentifizierten Angreifern aus dem Internet, während eines laufenden Core-Upgrades Schadcode einzuschleusen und auszuführen. Wordfence, ein auf das WordPress-Ökosystem spezialisiertes Sicherheitsunternehmen, hat die Aktivitäten nach eigenen Angaben in seinen Telemetriedaten erfasst.
Betroffen ist ein vorhersehbarer, aus dem Internet erreichbarer Pfad, den der WordPress-Core beim Anwenden von Core-Updates verwendet. Verwundbar ist dabei nur ein Upgrade mit dem vollständigen Core-Paket: WordPress entpackt es zunächst in ein vorhersehbares Verzeichnis unterhalb von „wp-content/upgrade“. Angreifer müssen den kurzen Zeitraum zwischen dem Anlegen dieses Staging-Verzeichnisses und den anschließenden Aufräumroutinen ausnutzen. In Laborumgebungen war das Verzeichnis laut den Sicherheitsforschern nur Sekunden verfügbar.
Trotz dieses engen Zeitfensters meldete Wordfence in den ersten 21 Stunden nach Einführung einer passenden Firewall-Regel insgesamt mehr als 18.500 Anfragen, die anfällige „setup-config.php“-Installationspfade prüften. Zwei besonders aktive Quellen fragten wiederholt kleine Gruppen von WordPress-Websites über rund 14,5 Stunden ab; andere variierten die angeforderten Staging-Pfade und Versionsnamen. Ob einzelne Systeme erfolgreich kompromittiert wurden, weist die vorliegende Information nicht aus.
Betroffene Fassungen und Maßnahmen
Die Versionsankündigung zu WordPress 7.1.4 führt knapp zwei Dutzend behobene Sicherheitslücken auf. Backports stehen außerdem für die älteren Zweige 4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11 und 7.0.8 bereit. Eine CVE-Kennung war zum Zeitpunkt der Meldung noch nicht verfügbar; die Schwachstelle wurde mit CVSS 8.1 und dem Risiko „hoch“ bewertet.
Betreiber sollten prüfen, ob ihre WordPress-Instanzen tatsächlich auf einer korrigierten Fassung laufen, und ein noch ausstehendes Update zügig installieren. War eine Instanz beim Update ungeschützt, empfiehlt sich laut den vorliegenden Hinweisen eine Untersuchung der Protokolle. Zu prüfen sind außerdem unerwartete PHP-Dateien unterhalb von „wp-content/upgrade“, unbekannte Administratorkonten, nicht erwartete Plug-ins sowie PHP-Dateien, die dort nicht von Administratoren abgelegt wurden.