Nutzer von WordPress.com werden sicherheitshalber um einen Password-Reset gebeten, weil in den Plugins WPouch, W3 Total Cache und AddThis Hintertüren gefunden wurden. Wie sie genau dort hinein gelangt sind, wird noch recherchiert – commits müssen ja von den Autoren akzeptiert und veröffentlicht werden.
Zum Glück waren die infizierten Plugin-Versionen nur für kurze Zeit im Repository. Sicherheitshalber sollten aber alle Betreiber von WordPress-Blogs sichergehen, dass sie auf die neusten Versionen updaten.
Es geht wohl eher um die Nutzer von WordPress.org? WordPress.com hat mit Plugins eher wenig am Hut, oder verstehe ich da was falsch?
Die Nutzer von WordPress.COM werden gerade darum gebeten, weil .COM definitiv infiziert war.
Für .ORG-Nutzer gilt natürlich das gleiche, die Wahrscheinlichkeit, dass sie die Lücke überhaupt hatten ist aber geringer:
Danke.
Passt allerdings aus meiner (laienhaften) Sicht nur so halb zu dem, was in der oben verlinkten wordpress.org-News steht: „we’ve decided to force-reset all passwords on WordPress.org“.
Gut ist dann auch, wenn man den Adminbereich zusätzlich per .htaccess geschützt hat, so können sich Angreifer trotzdem nicht einloggen!
Mit der Smartphone App kann man auch im kostenlosen WordPress Blog sheduled bloggen, also zu bestimmten Terminen automatisch veröffentlichen (lassen).
Sind das dann die einzigen 3 betroffenen Plugins? Sprich, muss man sich Sorgen machen, wenn man die nicht benutzt?
Wenn du als Admin einer eigenen WordPress-Installation diese Frage nicht selbst beantworten kannst, würde ich mir an deiner Stelle jetzt auf jeden Fall Sorgen machen. ;)
Nun, ich habe diese 3 Plugins nicht, insoweit wäre alles super. Wenn es nur diese 3 Stück sind.
Und eigene Installation: Naja, Strato halt.
Noch bessere Lösung: ein standardkonformes, durchdachtes System einsetzen und Schrottpress einfach wegwerfen. WordPress ist das neue Windows: keiner mag es, eigentlich ist es Schrott, aber jeder nutzt es und alle anderen müssen drunter leiden :(
Genau…95% aller User haben es, es wird vorinstalliert geliefert, ist closed source und teuer………
Und man darf nicht vergessen, beim Closed-Source wäre es vielleicht gar nicht aufgefallen. WordPress ist schon durchdacht, für den Anwendungsfall Blog und den Gelegenheitsanwender. Also ich bin dankbar für die Arbeit, die da geleistet wird.
Ah, vielen Dank für den Hinweis.
Vielleicht ist das der Grund, warum Google (!) mich per Email informiert, dass ich meinen Blog auf die neueste Version updaten soll. Fand ich auf jeden Fall befremdlich…