Wenn das Update selbst der Angriff ist
OptinMonster, TrustPulse u. a. (WordPress-Plug-ins)
Bei einem Anbieter mehrerer verbreiteter WordPress-Plug-ins wurde das Auslieferungsnetz für Dateien manipuliert. Über einige Stunden hinweg wurde darüber verändertes JavaScript an Websites ausgeliefert, das Hintertür-Zugänge mit Administratorrechten anlegte.
Betroffen waren nach den vorliegenden Angaben rund 1,2 Millionen Websites. Allein eines der Plug-ins ist auf über einer Million Installationen im Einsatz. Angriffsversuche wurden anschließend tatsächlich beobachtet.
Was das für dich heißt
Dieser Fall ist unangenehmer als eine gewöhnliche Sicherheitslücke, weil kein Fehler auf deiner Seite ihn möglich gemacht hat. Es gab nichts zu versäumen: Die Software war aktuell, die Quelle war die richtige - nur wurde unterwegs etwas ausgetauscht.
Daraus folgt nicht, dass Updates schaden. Es folgt, dass jede zusätzliche Abhängigkeit eine zusätzliche Partei ist, deren Sicherheit du mitkaufst. Wer zwanzig Plug-ins einsetzt, vertraut zwanzig fremden Auslieferungswegen. Genau deshalb baue ich Websites ohne solche Abhängigkeiten: Was nicht eingebunden ist, kann auch nicht unterwegs verändert werden.
Die Zusammenfassung der Fakten ist mit KI-Unterstützung entstanden und wurde vor der Veröffentlichung geprüft. Die Einordnung stammt von mir. Für den Inhalt der verlinkten Seite ist deren Betreiber verantwortlich.
Quelle heise online ↗