Am 6. August hat das WordPress-Projekt die Version 7.0.3 veröffentlicht. Sie schliesst zwölf Sicherheitslücken auf einmal. Viele Betreiber haben das Update gar nicht bemerkt — es lief über Nacht von selbst durch. Das ist beabsichtigt, aber es wird oft missverstanden, und der Unterschied ist im Ernstfall wichtig.
Die schwerste der zwölf Lücken sitzt ausgerechnet auf der Login-Seite. Es handelt sich um eine reflektierte Cross-Site-Scripting-Schwachstelle, die sich ohne Anmeldung ausnutzen lässt — «pre-auth» in der Sprache der Sicherheitsforscher. Das WordPress-Team beschreibt sie als geeignet, um im Zusammenspiel mit weiteren Umständen PHP-Code zur Ausführung zu bringen. Gemeldet hat sie das Team von pwn.ai. Genau diese Kombination — kein Login nötig, mögliche Codeausführung — ist der Grund, weshalb dieses Release keinen Aufschub verträgt.
Daneben stehen elf weitere Korrekturen, unter anderem: eine serverseitige Anfragefälschung in der URL-Prüfung, über die sich Anfragen in interne Netzbereiche schicken liessen; eine Rechteausweitung in Multisite-Netzwerken mit offener Registrierung, die es Nutzern erlaubte, eigene Websites anzulegen; mehrere gespeicherte XSS-Probleme in Blöcken und in der Schnellbearbeitung; sowie eine Preisgabe von Kommentaren auf passwortgeschützten Beiträgen.
Wie ernst das Projekt die Sache nimmt, zeigt ein Blick auf die Rückportierung: Die Korrekturen wurden bis hinunter zu WordPress 4.7 ausgeliefert — einer Version aus dem Jahr 2016. Ältere Zweige erhalten sieben bis elf der zwölf Korrekturen, WordPress 4.6 und älter bekommen gar nichts mehr. Wer eine solche Installation betreibt, hat kein Update-Problem, sondern ein Migrationsproblem.
Und damit zur Frage, die uns diese Woche mehrfach erreicht hat: War das ein Zwangsupdate?
Nein — und die Unterscheidung lohnt sich. WordPress installiert Sicherheits- und Wartungsreleases seit Version 3.7 standardmässig selbst, sofern die Installation Hintergrundprozesse ausführen kann und die Automatik nicht abgeschaltet wurde. Bei 7.0.3 heisst es in der offiziellen Ankündigung schlicht, Websites mit automatischen Hintergrund-Updates würden in Kürze aktualisiert. Das ist der Normalbetrieb, kein Sonderfall.
Ein echtes erzwungenes Update gab es dagegen drei Wochen zuvor: Bei Version 7.0.2 am 17. Juli — dem Release gegen die als «wp2shell» bekannt gewordene Angriffskette — schaltete WordPress.org die Zwangsverteilung über das Auto-Update-System aktiv ein, weil die Lücke bereits massenhaft ausgenutzt wurde. Diese Ausnahme haben wir in unserem Beitrag zur Angriffswelle auf WordPress beschrieben.
Für die Praxis folgt daraus dreierlei.
Erstens: Verlassen Sie sich nicht darauf, dass das Update angekommen ist. Die Automatik greift nur, wenn die Installation sie ausführen kann. Sie scheitert still, wenn Dateirechte das Schreiben verhindern, wenn ein Sicherheits-Plugin oder ein Eintrag in der `wp-config.php` sie deaktiviert hat, oder wenn die Website so wenig Besuch bekommt, dass der auslösende Aufruf ausbleibt. Ein Blick unter «Dashboard → Aktualisierungen» dauert zehn Sekunden und beantwortet die Frage verbindlich.
Zweitens: Ein Kernupdate deckt nur den Kern ab. Plugins und Themes aktualisieren sich in der Standardeinstellung nicht mit — und über sie läuft der überwiegende Teil aller erfolgreichen Angriffe.
Drittens, und das ist der Punkt, der am häufigsten übersehen wird: Ein Update schliesst eine Lücke, aber es entfernt nichts, was vorher durch sie hindurchgekommen ist. Wenn eine Installation zwischen dem 17. Juli und dem Einspielen von 7.0.2 ungepatcht am Netz war, kann längst eine Hintertür liegen — eine getarnte Datei, ein zusätzliches Administratorkonto, ein manipuliertes Plugin. Diese überstehen jedes weitere Update unbeschadet. In dem Fall hilft nur eine Hack- & Malware-Bereinigung, die den Einbruchsweg sucht statt nur die Version hochzuzählen.
Für Websites in unserer Betreuung ist das erledigt: Wir spielen Sicherheitsupdates kontrolliert ein, prüfen anschliessend, ob die neue Version tatsächlich aktiv ist, und behalten die Dateien im Blick. Warum das mehr ist als eine Bequemlichkeit, steht in unserem Beitrag zu Wartungsvertrag und Monitoring.
Unsicher, ob Ihre Website auf dem aktuellen Stand ist — oder ob in den Wochen davor schon etwas passiert ist? Melden Sie sich, wir sehen nach.