Es handelt sich dabei um die bereits bekannte Lücke, mit der Zugriff auf die wp-config.php der WordPress-Systeme besteht und Code ausgeführt werden kann. Diese ist spätestens seit dem 3. September diesen Jahres großflächig bekannt und bereits von den Entwicklern geschlossen worden, die Verbreitung der älteren und damit anfälligen Version ist jedoch immer noch relativ hoch. An erster Stelle solltet Ihr prüfen ob z.B. euer Theme auf den Revolution-Slider setzt. Viele Nutzer wissen gar nicht, dass sie dieses Plugin im Einsatz haben, da es einfach mit dem eigenen Theme ausgeliefert wird. Automatische Updates für das Plugin sind oftmals nicht möglich, da es sich um ein kostenpflichtiges Plugin handelt, welches teilweise fest mit einem Theme verbunden ist. Nach aktuellen Angaben sind bereits mehr als 100.000 WordPress-Webseiten befallen, Tendenz steigend. Google hat mittlerweile 11.000 Domains von den Suchergebnissen aufgrund von Malwarebefall (über diese Sicherheitslücke) gesperrt (Quelle: Sucuri). Aufgrund der Brisanz und des möglichen Schadens für eure Webseiten und das Ranking, kann ich nur jedem empfehlen die eigene WordPress Webseite entsprechend zu prüfen. Da ich in der vergangenen Woche bereits mehrere befallene WordPress-Seiten von der Malware befreit habe, möchte ich euch gerne ein paar Tipps geben, wie ihr den Malwarebefall prüfen könnt. Ich möchte aber darauf hinweisen, dass die Angriffspunkte variieren und bei den von mir geprüften Seiten immer wieder andere Dateien befallen waren, es handelt sich ihr also lediglich um Tipps ohne jegliche Garantie, dass ihr eure Seiten damit wirklich komplett von der Malware befreien könnt oder eure Seiten nicht anderweitig beschädigt.
Weitere Informationen zu der Sicherheitslücke und wie ich bei der Entfernung der Malware vorgegangen bin, findet ihr in meinem Blog Webdesign-Podcast.de. Weiterhin ist auch der Blog von Sucuri mit hilfreichen Informationen gefüttert.
Nachtrag: Die Entwickler des Plugins (Themepunch) “Slider Revolution” haben darauf hingewiesen, dass es sich bei der aktuell ausgenutzten Sicherheitslücke um eine bereits bekannte und gefixte Lücke handelt. Der Artikel ist dementsprechend umgestellt worden und ich bedanke mich für den Hinweis bei @themepunch.
