Am 24. August hat der Anbieter WPMU DEV eine Notfallversion seines Dashboard-Plugins veröffentlicht. Der Grund: Über eine Lücke im Anmeldeverfahren konnten Fremde eine Administratorsitzung übernehmen — ohne Benutzername, ohne Passwort. Die Schwachstelle trägt die Kennung CVE-2026-76581 und ist mit 9,8 von 10 Punkten bewertet, dem zweithöchsten Wert, den diese Skala kennt.
Solche Meldungen gibt es jede Woche. Diese ist aus einem anderen Grund erwähnenswert: Wir haben die Angriffe darauf in unseren eigenen Protokollen.
Was am 30. August bei uns ankam
Sechs Anfragen von einer einzelnen Adresse, gerichtet an eine Kundenwebsite, alle nach demselben Muster: ein Aufruf der Aktion «wdpsso_step1». Genau diese Aktion ist der Einstieg in die beschriebene Lücke.
Unsere Schutzsoftware hat die Versuche abgewiesen. Nachgeprüft haben wir es trotzdem, und die betroffene Website war ohnehin nicht verwundbar: Das Plugin ist dort gar nicht installiert. WordPress antwortet auf eine unbekannte Aktion mit einem Fehlercode, und genau den bekam der Angreifer.
Interessant ist weniger der einzelne Fall als der Zeitraum. Zwischen der Veröffentlichung der Lücke und dem ersten Angriffsversuch auf unseren Servern lagen sechs Tage. Wer sein Plugin in dieser Woche nicht aktualisiert hat, war das Ziel — nicht, weil ihn jemand ausgesucht hätte, sondern weil ein Programm eine Liste abarbeitet.
Woran es technisch lag
Das Plugin verbindet eine WordPress-Website mit dem Verwaltungsportal des Anbieters. Wer sich dort anmeldet, kann per Einmalanmeldung direkt in die eigene Website springen, ohne sich ein zweites Mal auszuweisen.
Diese Einmalanmeldung läuft in zwei Schritten, und beide prüfen eine kryptografische Unterschrift. Der Fehler: Die Unterschrift wurde in Schritt eins anders zusammengesetzt als in Schritt zwei geprüft. Dadurch liess sich die Unterschrift aus dem ersten Schritt im zweiten erneut einreichen — und der zweite Schritt hielt sie für gültig. Die Korrektur merkt sich die Unterschrift nun serverseitig und weist sie zurück, wenn sie ein zweites Mal auftaucht.
Betroffen sind alle Fassungen bis 5.0.1, behoben ist es in 5.0.2. Voraussetzung für den Angriff ist, dass die Einmalanmeldung eingeschaltet und einem Administratorkonto zugeordnet ist. Schätzungen sprechen von rund 350'000 Websites, auf denen das Plugin läuft.
Es ist übrigens die zweite Umgehung binnen dreier Wochen: Schon Anfang August war eine ähnliche Schwäche in Version 5.0.0 bekannt geworden, bei der sich die Unterschrift fälschen liess, solange eine Website noch nicht mit dem Portal verbunden war.
Was zu tun ist
Wenn Sie das WPMU-DEV-Dashboard einsetzen: auf 5.0.2 oder neuer aktualisieren. Geht das nicht sofort, schalten Sie die Einmalanmeldung im Portal ab — dann läuft der Angriff ins Leere.
Wenn Sie nicht wissen, ob das Plugin auf Ihrer Website läuft: Es heisst im Verwaltungsbereich schlicht «WPMU DEV». Häufig stammt es von einer Agentur, die damit mehrere Kundenwebsites gesammelt betreut.
Und der allgemeine Teil, der über dieses eine Plugin hinausgeht: Ein Plugin, das eine Anmeldung von aussen erlaubt, vergrössert die Angriffsfläche um genau diesen Weg. Das kann sich lohnen — aber es gehört zu den Bausteinen, die man nach einem Update-Hinweis zuerst anschaut, nicht zuletzt.
Bei den von uns betreuten Websites prüfen wir das mit. Wenn Sie unsicher sind, ob bei Ihnen etwas offensteht, sehen wir nach; das dauert wenige Minuten und kostet nichts.
Warum Aktualisieren allein nicht genügt, haben wir vergangene Woche beschrieben. Und wonach die Programme sonst noch suchen, steht in unserer Auswertung eines einzigen Tages.