Zero-Day-Lücke in WordPress-Plug-in betrifft bis zu eine halbe Million Sites

Sicherheitsforscher von Sucuri melden eine Zero-Day-Lücke im WordPress-Plug-in Fancybox, das über eine halbe Million mal heruntergeladen wurde. Sie wird bereits genutzt, Sites sollten das Plug-in also umgehend deaktivieren oder aktualisieren.

WordPress selbst hat es seinem Downloadverzeichnis zunächst entnommen. Seit wenigen Stunden ist eine gepatchte Version (3.0.4) verfügbar, der Download also wieder möglich.

Fancybox dient der Darstellung von Einzelbildern und Galerien, die auf Klick größer – in einer Box – erscheinen und dabei animiert und auch mit eingeblendeten Titeln oder Beschreibungstexten versehen werden können.

Wie der Exploit genau funktioniert, ist unklar. Für Detailangaben wollten die Sicherheitsforscher den erst seit kurzem verfügbaren Patch abwarten. Es ist Angreifern aber möglich, beliebigen Code – eben auch Schadcode – auf der Website auszuführen.

Fancybox im Einsatz (Bild: via WordPress.org)

Sucuri ist durch eine Infektionswelle auf die Schwachstelle gestoßen. Es ermittelte, dass eine Reihe betroffener Website einen bösartigen iframe von „203koko“ luden. Auch in den WordPress-Foren wurde das Problem gemeldet und diskutiert.

Einer Statistik zufolge kommt WordPress auf 23 Prozent der 10 Millionen meistbesuchten Websites zum Einsatz – darunter auch ZDNet.de. Wie viele Fancybox nicht nur heruntergeladen haben, sondern auch einsetzen, ist unbekannt.

[mit Material von Zack Whittaker, ZDNet.com]