Am 24. August haben wir hier über eine kritische Lücke in Elementor Pro geschrieben, dem kostenpflichtigen WordPress-Baukasten. Der Beitrag endete mit einem Satz, den wir heute anders schreiben würden:
*«Angriffe im grossen Stil waren zum Zeitpunkt dieses Beitrags nicht bekannt. Das ist eine Momentaufnahme und kein Entwarnungssignal.»*
Die Momentaufnahme war korrekt und trotzdem falsch. Die Angriffe liefen zu diesem Zeitpunkt bereits seit fünf Tagen.
Was inzwischen bekannt ist
Der Sicherheitsanbieter Wordfence hat Anfang September ausgewertet, was seine Filter seit der Offenlegung am 19. August abgefangen haben: über 190 000 blockierte Angriffsversuche, mit dem deutlichsten Ausschlag zwischen dem 19. und 23. August.
Der 23. August. Unser Beitrag erschien am 24.
Rechnet man die parallel laufende Welle gegen ein zweites Formular-Plugin dazu, kommen Auswertungen auf über 440 000 Versuche insgesamt. Diese Zahl gilt für beide Lücken zusammen — die 190 000 sind der Anteil, der Elementor zuzuordnen ist.
Am 2. September hat Wordfence noch einmal ausdrücklich gewarnt. Die Angriffe laufen weiter.
Warum wir das nicht wussten
Ehrlicherweise: Wir hätten es zu diesem Zeitpunkt auch nicht wissen können. Die Zahlen stammen aus der Auswertung eines Anbieters, der Millionen Websites überwacht, und die lag Ende August noch nicht vor. Was öffentlich abrufbar war, sagte tatsächlich nichts über eine Angriffswelle.
Genau das ist der Punkt, und er ist wichtiger als die Lücke selbst.
Eine Aussage über Angriffe ist immer eine Aussage über das, was jemand gerade gemessen und veröffentlicht hat. Sie ist nie eine Aussage darüber, was tatsächlich passiert. Zwischen «wird ausgenutzt» und «wir wissen, dass es ausgenutzt wird» liegen regelmässig Wochen — und wer in dieser Zeit abwartet, wartet nicht auf die Angriffe. Er wartet auf die Nachricht davon.
Der einzige tragfähige Umgang damit: Bei einer kritischen Lücke nicht fragen, ob schon angegriffen wird. Sondern annehmen, dass es passiert.
Der Fehler ist ein einziges Wort
Es lohnt sich, einen Blick auf die Ursache zu werfen — nicht aus technischer Neugier, sondern weil sie zeigt, wie wenig es braucht.
Das Plugin prüft hochgeladene Dateien in einer Schleife. Trifft es dabei auf einen leeren Eintrag, soll es diesen überspringen und mit dem nächsten weitermachen. Im Code stand an dieser Stelle jedoch die Anweisung, die Prüfung ganz zu verlassen, statt nur diesen einen Eintrag zu überspringen.
Wer also zwei Dateien in dasselbe Feld legt — vorne eine leere, dahinter eine ausführbare —, sorgt dafür, dass die Prüfung nach der ersten aufhört. Die zweite Datei wird nie angesehen und landet trotzdem im öffentlich erreichbaren Verzeichnis.
Ein Wort im Quelltext, an einer Stelle, die auf den ersten Blick funktioniert. Solche Fehler findet keine Sichtprüfung.
Was jetzt zu tun ist
Die Handlungsschritte stehen ausführlich im Beitrag vom 24. August — dort auch, warum es nur Elementor Pro mit einem Datei-Upload im Formular betrifft und weshalb eine abgelaufene Lizenz die Lücke dauerhaft offen hält. Drei Punkte sind nach der Angriffswelle allerdings anders zu gewichten:
Erstens: Aktualisieren reicht nicht mehr. Vor drei Wochen war ein Update die vollständige Antwort. Heute ist es nur der erste Schritt. Wer zwischen dem 19. August und dem Tag der Aktualisierung eine verwundbare Fassung im Netz hatte, muss davon ausgehen, dass die Website in dieser Zeit angeboten wurde.
Zweitens: Im Upload-Verzeichnis nachsehen. Unter wp-content/uploads/elementor/forms/ gehören Dokumente und Bilder. Jede Datei mit der Endung .php ist dort ein Alarmzeichen. Auch dann, wenn das Plugin längst aktuell ist — ein Update entfernt nicht, was vorher hindurchgekommen ist.
Drittens: Nicht selbst aufräumen. Wer eine solche Datei findet, sollte sie nicht einfach löschen. Sie ist selten die einzige Spur, und mit ihr verschwindet der Hinweis darauf, wann und wie jemand hereinkam. Das gehört angesehen, bevor es beseitigt wird.
Und wenn nichts zu finden ist?
Dann ist das eine gute Nachricht, aber keine Garantie. Es heisst, dass an der offensichtlichen Stelle nichts liegt.
Bei einer Website mit Kundendaten oder einem Bestellvorgang ist der ehrliche Rat: einmal richtig nachsehen lassen. Das kostet ein bis zwei Stunden und beantwortet die Frage, die sonst offen bleibt.
Wir haben in diesem Sommer mehrfach beschrieben, wie kurz der Abstand zwischen «behoben» und «ausgenutzt» geworden ist — bei abgelaufenem PHP genauso wie bei Angriffen über die Lieferkette. Dieser Fall fügt eine Zeile hinzu: Der Abstand zwischen «ausgenutzt» und «wir erfahren davon» ist genauso kurz zu veranschlagen.