WordPress: Exploit-Versuche beobachtet, Update stopft Schadcode-Lücke

IT-Verantwortliche, die WordPress-Instanzen in ihren Netzwerkumgebungen pflegen, sollten sicherstellen, dass diese auf dem aktuellen Stand sind. Am Mittwoch haben die Entwickler Updates veröffentlicht, die Sicherheitslücken in dem CMS schließen. Erste Angriffsversuche auf eine der Schwachstellen waren schon kurz nach Verfügbarkeit der Aktualisierungen zu beobachten.

Davor warnt die IT-Sicherheitsfirma Wordfence, die sich auf das WordPress-Ökosystem spezialisiert hat. Die Versionsankündigung zu WordPress 7.1.4 listet knapp zwei Dutzend Sicherheitslücken auf, die die aktualisierten Pakete schließen. Außerdem kündigt sie Backports auf ältere WordPress-Zweige an. Die Korrekturen sind auch in WordPress 4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11 und 7.0.8 enthalten.

Sicherheitslücke ermöglicht Codeschmuggel aus dem Netz

Die bereits attackierte Sicherheitslücke beruht darauf, dass der WordPress-Core einen vorhersehbaren und aus dem Internet erreichbaren Pfad beim Anwenden von Core-Updates verwendet. Nicht authentifizierte Angreifer aus dem Internet können dadurch Schadcode einschleusen und ausführen – bei einem laufenden Upgrade (CVE-Eintrag zum Meldungszeitpunkt nicht verfügbar, CVSS 8.1, Risiko „hoch“).

Diese Voraussetzung der laufenden Update-Prozedur klingt zunächst so, als ob die Lücke dadurch eher exotisch sei – Angreifer müssen ein Wettrennen gegen den Installationsvorgang und dessen Aufräumroutinen gewinnen. Laut der IT-Sicherheitsforscher war das Staging-Verzeichnis in Laborumgebungen nur Sekunden verfügbar. Wordfence weist jedoch darauf hin, dass die Telemetriesysteme des Hauses bereits aktive Angriffsversuche aufgezeichnet haben. In den ersten 21 Stunden, nachdem das Unternehmen eine entsprechende Firewall-Regel eingeführt hatte, zählte es insgesamt mehr als 18.500 Anfragen, die auf anfällige „setup-config.php“-Installationspfade prüften. Zwei der aktivsten Verursacher haben wiederholt kleine Gruppen von WordPress-Sites für rund 14,5 Stunden gepollt. Andere Quellen variierten die angefragten Staging-Pfade und Versionsnamen.

Dass solche Angriffsversuche überhaupt Erfolgschancen haben, liegt auch an dem automatischen Update-Mechanismus von WordPress. Der sucht standardmäßig nach Aktualisierungen und lädt diese dann herunter, um sie selbsttätig zu installieren. Anfällig ist allerdings nur ein Upgrade mit dem vollständigen Core-Paket, das WordPress in ein vorhersehbares Verzeichnis unterhalb von „wp-content/upgrade“ entpackt.

WordPress-Betreiberinnen und -Betreiber sollten daher prüfen, ob ihre Instanzen die aktuelle Fassung tatsächlich bereits installiert haben und das gegebenenfalls zügig nachholen. Wenn das Update noch nicht installiert war, ist eine Untersuchung auf erfolgreiche Angriffe sinnvoll. Hinweise auf Zugriffe können sich etwa in den Log-Dateien finden. Verdächtig sind außerdem unerwartete PHP-Dateien unterhalb des Pfads „wp-content/upgrade“, unbekannte Admin-Konten, unerwartete Plug-ins sowie PHP-Dateien, die Admins nicht selbst dort abgelegt haben.

Bereits Ende September hatte WordPress eine Sicherheitslücke geschlossen. Auch diese Lücke wurde nur Stunden nach Veröffentlichung im Netz attackiert.