Kritische Lücke im WordPress-Plugin GiveWP erlaubt Befehle auf dem Server

Was passiert ist

Für das WordPress-Plugin GiveWP wurde eine Sicherheitslücke bekannt, die nach Angaben von Bleeping Computer mit der höchstmöglichen Schweregradstufe bewertet ist. Das Plugin dient dazu, Spendenformulare und Spendenkampagnen in WordPress-Websites einzubinden, und wird vor allem von Vereinen, Stiftungen und gemeinnützigen Organisationen genutzt.

Entscheidend ist die Art der Schwachstelle: Ein Angreifer muss sich nicht anmelden und benötigt kein Benutzerkonto. Er kann laut Bericht beliebige Befehle auf dem Server ausführen, auf dem die Website gehostet wird. Damit endet der Angriff nicht bei der Website selbst. Wer Befehle auf dem Server ausführen kann, kann in der Regel auch Daten auslesen, Dateien verändern, zusätzliche Zugänge anlegen oder Schadcode dauerhaft hinterlegen.

Warum das für kleine und mittlere Unternehmen relevant ist

Schwachstellen in WordPress-Erweiterungen sind ein Dauerthema, weil sie sich hervorragend automatisiert ausnutzen lassen. Angreifer durchsuchen das Internet gezielt nach Installationen mit anfälligen Plugin-Versionen. Ob dahinter ein Konzern oder ein Ortsverein steht, spielt dabei keine Rolle. Es braucht keinen gezielten Angriff auf Ihr Unternehmen, um betroffen zu sein.

Besonders unangenehm ist die Kombination aus Spendenformular und Serverzugriff. Auf solchen Seiten laufen personenbezogene Daten von Spenderinnen und Spendern zusammen, häufig verbunden mit Zahlungsvorgängen. Ein Zugriff auf Serverebene kann daher schnell zu einer meldepflichtigen Datenschutzverletzung führen. Hinzu kommt: Viele kleinere Organisationen lassen ihre Website einmal aufsetzen und danach kaum noch pflegen. Genau diese Installationen bleiben oft monatelang angreifbar.

Ein kompromittierter Webserver wird zudem gerne weiterverwendet – etwa für Phishing-Seiten oder als Versandstelle für Spam. Der Reputationsschaden trifft dann auch Ihre Domain und Ihre E-Mail-Zustellbarkeit.

Was Sie jetzt tun sollten

• Prüfen Sie, ob GiveWP auf einer Ihrer WordPress-Installationen aktiv ist, und aktualisieren Sie das Plugin unverzüglich auf die aktuelle Version.
• Aktivieren Sie automatische Updates für WordPress-Kern und Plugins, wo dies betrieblich vertretbar ist.
• Deinstallieren Sie Plugins, die Sie nicht mehr benötigen – deaktivieren allein genügt nicht.
• Erstellen Sie eine Übersicht aller Websites Ihres Unternehmens samt Verantwortlichkeit, auch für Alt- und Kampagnenseiten.
• Sichern Sie regelmäßig Datenbank und Dateien und prüfen Sie, ob Sie eine Wiederherstellung tatsächlich durchführen können.

Sollten Sie Hinweise auf einen erfolgten Zugriff finden – etwa unbekannte Administratorkonten oder veränderte Dateien –, reicht ein Update nicht aus. Ziehen Sie in diesem Fall eine vollständige Neuinstallation auf Basis eines geprüften Backups in Betracht.