Wenn über WordPress-Sicherheit geschrieben wird, geht es fast immer um Plugins. Das hat einen Grund: Es gibt zehntausende davon, und sie sind die häufigste Eintrittspforte. Doch daneben steht eine zweite Softwaregattung, über die kaum jemand spricht — und die auf jeder Website läuft: das Theme.
Seit dem 29. August ist eine Lücke in Avada bekannt, einem der meistverkauften WordPress-Themes überhaupt, mit über einer Million Verkäufen. Die Bewertung: 9,8 von 10.
Was möglich ist
Über eine Funktion des mitgelieferten Baukastens lassen sich Dateien auf den Server schreiben, ohne dass sich der Angreifer anmelden muss. Wer eine PHP-Datei ablegen kann, kann sie auch aufrufen — und damit gehört ihm die Website.
Man nennt so etwas einen Angriff ohne Zutun des Opfers: Niemand muss auf etwas klicken, niemand muss angemeldet sein, es genügt, dass die Website erreichbar ist.
Betroffen ist Avada bis einschliesslich 7.16 zusammen mit Fusion Builder bis einschliesslich 3.16. Behoben ist es in Avada 7.16.1 und Fusion Builder 3.16.1. Beide Teile gehören aktualisiert, nicht nur einer.
Warum Themes länger ungepatcht bleiben
Hier liegt der eigentliche Grund, warum dieser Fall gefährlicher ist, als die Zahl allein vermuten lässt.
Ein Plugin-Update fühlt sich harmlos an. Man klickt, und wenn danach etwas fehlt, deaktiviert man es wieder. Ein Theme-Update fühlt sich anders an — es betrifft das Aussehen. Wer einmal erlebt hat, wie nach einem Update die Startseite anders aussah, Abstände verrutschten oder eine angepasste Farbe verschwand, schiebt das nächste Theme-Update auf. Verständlich, und im Alltag oft folgenlos.
Genau diese Zurückhaltung macht Themes zu einem lohnenden Ziel. Angreifer wissen, dass die Fassung mit der Lücke länger im Netz steht als bei einem Plugin.
Dazu kommt: Viele Avada-Installationen stammen aus einem Website-Projekt vor Jahren. Die Agentur ist längst nicht mehr im Boot, die Lizenz für Updates womöglich abgelaufen — und ohne gültige Lizenz meldet das Theme neue Versionen gar nicht erst. Dasselbe Muster hatten wir im August bei Elementor beschrieben: Wer nicht zahlt, erfährt nichts.
Was zu tun ist
Prüfen, welche Avada- und Fusion-Builder-Version läuft, und beides auf 7.16.1 beziehungsweise 3.16.1 heben. Im Verwaltungsbereich stehen die Versionen unter Design und unter Plugins.
Wenn die Lizenz abgelaufen ist, wird das Update nicht angeboten. Dann führt der Weg über die Verlängerung — oder, wenn das Theme ohnehin nicht mehr gepflegt wird, über die grundsätzlichere Frage, wie lange diese Website noch so weiterlaufen soll.
Und vorher eine Testkopie. Bei einem Theme-Update ist das keine Formsache: Genau hier verrutscht tatsächlich manchmal etwas. Wer es zuerst auf einer Kopie einspielt, sieht das Problem, bevor der Kunde es sieht. Wie das abläuft, steht in unserem Leitfaden zum Aktualisieren von Joomla — der Ablauf ist bei WordPress derselbe, nur die Menüpunkte heissen anders.
Zwei Lücken, ein Muster
Dies ist der zweite kritische Fall binnen weniger Tage: Am 29. August erschienen sechs kritische Meldungen zu WordPress-Erweiterungen in einer einzigen Woche, darunter die Lücke im WPMU-DEV-Dashboard, deren Angriffsversuche wir in unseren eigenen Protokollen gesehen haben.
Wer bei dieser Taktung mithalten will, kommt an einer Entscheidung nicht vorbei: Entweder läuft die Aktualisierung automatisch mit Kontrolle danach, oder es gibt jemanden, der verbindlich zuständig ist. Sechs kritische Meldungen in acht Tagen lassen sich nicht nebenbei abarbeiten.