Eine Website in mehrere Sprachen zu übersetzen klingt erst einmal nicht gerade nach einer Funktion, über die jemand gleich den gesamten WordPress-Admin übernehmen kann. Oder?

Und doch wurde genau so ein Problem in dem beliebten Plugin TranslatePress entdeckt, das auf mehr als 400.000 Websites eingesetzt wird.

Betroffen sind Versionen 3.3.1 und älter. Unter bestimmten Bedingungen kann jemand ohne Konto auf deiner Website an den Link gelangen, mit dem ein Administrator ein neues Passwort setzt. Danach kann die Person ein eigenes Passwort vergeben und sich als Administrator anmelden. Erschreckend einfach, oder?

WebsiteGarage / Leistungen

Entdecke unsere Leistungen.

Wir reden hier also nicht über einen falsch übersetzten Button oder ein zerschossenes Menü.

Wir reden über die Möglichkeit, die Kontrolle über die Website-Administration zu übernehmen.

Wen betrifft das?

Nicht jede Website mit TranslatePress war unter denselben Bedingungen verwundbar. Der Angriff ist möglich, wenn die im Administratorprofil eingestellte Sprache zu den zusätzlichen Sprachen gehört, die auf der Website veröffentlicht sind.

Als Website-Betreiber solltest du jetzt aber wirklich nicht anfangen, die Spracheinstellungen sämtlicher Admin-Konten auseinanderzunehmen und zu überlegen, ob du zufällig alle Voraussetzungen für den Angriff erfüllst.

Wenn du TranslatePress nutzt, ist die Antwort deutlich einfacher:

Version prüfen und Plugin aktualisieren.

Was solltest du jetzt tun?

Wenn du TranslatePress 3.3.1 oder älter nutzt, aktualisiere das Plugin. Das Problem wurde in Version 3.3.2 behoben, bei WordPress.org ist inzwischen bereits die neuere Version 3.3.3 verfügbar.

Wenn sich jemand anderes um deine Website kümmert, musst du nicht wissen, wo du das nachschauen kannst. Schick einfach eine Frage:

„Nutzen wir TranslatePress und ist es aktuell?“

Wenn die Website eine Zeit lang mit einer verwundbaren Version lief und die Voraussetzungen für den Angriff erfüllt waren, solltest du die Person, die WordPress betreut, zusätzlich bitten zu prüfen, ob unbekannte Administrator-Konten oder andere Hinweise auf unbefugten Zugriff aufgetaucht sind.

Das Update schließt die Lücke für die Zukunft. Es kann aber nicht rückgängig machen, was vorher möglicherweise schon passiert ist.

„Ich habe Wordfence, also betrifft mich das nicht“?

Darauf würde ich mich nicht verlassen.

Die kostenpflichtigen Wordfence-Versionen haben am 13. August zusätzlichen Schutz gegen genau diesen Angriff erhalten. Die kostenlose Version soll dieselbe Regel am 12. September bekommen.

Vor allem sollte eine Firewall aber kein Grund sein, ein verwundbares Plugin einfach weiterlaufen zu lassen. Eine korrigierte Version ist verfügbar, also ist das Update die richtige Lösung.

Was kann passieren, wenn ein Admin-Konto übernommen wird?

Ein WordPress-Administrator kann sehr viel. Wer ein solches Konto übernimmt, kann Inhalte verändern, weitere Konten anlegen, zusätzliche Software installieren oder sich einen versteckten Zugang für später hinterlassen.

Bei einem Shop oder einer Website, die über Formulare Daten sammelt, können die Folgen natürlich deutlich ernster sein als nur eine ausgetauschte Startseite.

Genau deshalb solltest du auf diese Sicherheitslücke reagieren, selbst wenn deine Website heute völlig normal aussieht.

WEBSITEGARAGE SAGT

Das ist ein schönes Beispiel für ein bekanntes Problem:

„Das ist doch nur ein Übersetzungs-Plugin.“

Bei WordPress ist „nur ein Plugin für …“ erstaunlich oft der Anfang eines ziemlich unheilvollen Satzes.

Ein Plugin muss nicht Security, Login oder User Management im Namen tragen, damit ein Fehler darin am Ende jemandem Admin-Zugriff verschafft.

Und genau deshalb bedeutet vernünftige WordPress-Wartung nicht, darauf zu warten, dass die Website nicht mehr funktioniert.

Denn in diesem Fall könnte sie hervorragend funktionieren.

Inklusive eines neuen Administrators, den du nie angelegt hast.

Wenn du TranslatePress nutzt: Version prüfen und aktualisieren.

Fünf Minuten heute sind deutlich angenehmer, als später herauszufinden, wer eigentlich Zugriff auf deine Website hat. Oder wo deine Daten geblieben sind.

Quellen