Die aktuell bekannt gewordene Sicherheitslücke „wp2shell“ sorgt weltweit für Aufmerksamkeit. Besonders kritisch ist, dass es sich nicht um eine Schwachstelle in einem Plugin oder Theme handelt, sondern um eine Kombination zweier Fehler im WordPress-Core, die unter bestimmten Voraussetzungen eine nicht authentifizierte Remote-Code-Ausführung ermöglichen können. Betroffen sind insbesondere ältere Versionen bis einschließlich WordPress 7.0.1 bzw. 6.9.4. Sicherheitsupdates wurden bereits veröffentlicht, gleichzeitig laufen jedoch bereits automatisierte Angriffe auf ungepatchte Systeme.  

Eine Ausnahme – nicht die Regel

WordPress wird häufig als unsicher dargestellt. Tatsächlich zeigt die Praxis jedoch ein anderes Bild.

Die überwiegende Mehrheit aller kompromittierten WordPress-Webseiten wird nicht durch Schwachstellen im WordPress-Core, sondern durch:

• veraltete Plugins
• unsichere Themes
• schwache Passwörter
• fehlende Sicherheitsupdates
• mangelnde Serverabsicherung

verursacht.

Die aktuelle wp2shell-Sicherheitslücke ist deshalb eine Ausnahme, weil sie den WordPress-Kern selbst betrifft. Solche Fälle sind äußerst selten und werden von der WordPress-Community in der Regel sehr schnell behoben.

Wir haben frühzeitig reagiert

Bereits unmittelbar nach Bekanntwerden der Sicherheitswarnungen haben wir unsere Schutzmaßnahmen erweitert und unsere Kunden aktiv abgesichert.

Unsere Managed-WordPress-Kunden profitieren unter anderem von:

Eigene Web Application Firewall (WAF)

Unsere speziell entwickelte WordPress-WAF blockiert bekannte Angriffsmuster bereits bevor diese die eigentliche WordPress-Installation erreichen. Dadurch lassen sich viele automatisierte Exploits bereits auf Netzwerkebene stoppen.

Permanentes Monitoring durch unser NOC

Unser Network Operations Center (NOC) überwacht die Systeme kontinuierlich auf:

• ungewöhnliche Zugriffe
• bekannte Exploit-Muster
• verdächtige Dateiänderungen
• Angriffsversuche auf WordPress-Instanzen

So können Auffälligkeiten frühzeitig erkannt und Gegenmaßnahmen eingeleitet werden.

Erzwingbare Zwei-Faktor-Authentifizierung

Ein erfolgreicher Angriff endet häufig mit der Übernahme eines Administrator-Kontos. Deshalb unterstützen wir eine verpflichtende Zwei-Faktor-Authentifizierung.

Unsere Lösung bietet:

• Einmalcode per E-Mail
• Authenticator-App (TOTP)
• erzwungene Aktivierung für Administratoren und Redakteure
• zentrale Verwaltung der Sicherheitsrichtlinien

Damit wird selbst bei kompromittierten Zugangsdaten ein unbefugter Login erheblich erschwert.

Sicherheit besteht aus mehreren Ebenen

Ein aktuelles WordPress ist heute nur ein Bestandteil einer sicheren Website.

Entscheidend ist das Zusammenspiel aus:

• aktuellen Sicherheitsupdates
• einer Web Application Firewall
• kontinuierlichem Monitoring
• sicherer Authentifizierung
• regelmäßigen Backups
• professioneller Serverüberwachung

Nur dieses sogenannte Defense-in-Depth-Konzept schützt zuverlässig vor modernen Angriffen.

Unsere Empfehlung

Alle Betreiber von WordPress-Webseiten sollten zeitnah prüfen,

• ob die aktuellsten WordPress-Versionen installiert sind,
• ob Sicherheitsupdates erfolgreich eingespielt wurden,
• ob Zwei-Faktor-Authentifizierung aktiviert ist,
• und ob eine geeignete WAF vor der Website eingesetzt wird.

Wer seine WordPress-Installation professionell betreiben möchte, sollte nicht ausschließlich auf Updates vertrauen, sondern auf ein ganzheitliches Sicherheitskonzept setzen.

Wir unterstützen unsere Kunden dabei mit einer Kombination aus eigener WordPress-WAF, kontinuierlicher Überwachung durch unser NOC, verpflichtender Zwei-Faktor-Authentifizierung sowie einem proaktiven Sicherheitsmanagement. So lassen sich auch neue Bedrohungen wie wp2shell frühzeitig erkennen und wirksam abwehren.