Categories: Virus

Zero-Day-Lücke in WordPress-Plug-in betrifft bis zu eine halbe Million Sites

Sicherheitsforscher von Sucuri melden eine Zero-Day-Lücke im WordPress-Plug-in Fancybox, das über eine halbe Million mal heruntergeladen wurde. Sie wird bereits genutzt, Sites sollten das Plug-in also umgehend deaktivieren oder aktualisieren.

WordPress selbst hat es seinem Downloadverzeichnis zunächst entnommen. Seit wenigen Stunden ist eine gepatchte Version (3.0.4) verfügbar, der Download also wieder möglich.

Fancybox dient der Darstellung von Einzelbildern und Galerien, die auf Klick größer – in einer Box – erscheinen und dabei animiert und auch mit eingeblendeten Titeln oder Beschreibungstexten versehen werden können.

Wie der Exploit genau funktioniert, ist unklar. Für Detailangaben wollten die Sicherheitsforscher den erst seit kurzem verfügbaren Patch abwarten. Es ist Angreifern aber möglich, beliebigen Code – eben auch Schadcode – auf der Website auszuführen.

Fancybox im Einsatz (Bild: via WordPress.org)

Sucuri ist durch eine Infektionswelle auf die Schwachstelle gestoßen. Es ermittelte, dass eine Reihe betroffener Website einen bösartigen iframe von „203koko“ luden. Auch in den WordPress-Foren wurde das Problem gemeldet und diskutiert.

Einer Statistik zufolge kommt WordPress auf 23 Prozent der 10 Millionen meistbesuchten Websites zum Einsatz – darunter auch ZDNet.de. Wie viele Fancybox nicht nur heruntergeladen haben, sondern auch einsetzen, ist unbekannt.

[mit Material von Zack Whittaker, ZDNet.com]

Florian Kalenda

Seit dem Palm Vx mit Klapp-Tastatur war Florian mit keinem elektronischen Gerät mehr vollkommen zufrieden. Er nutzt derzeit privat Android, Blackberry, iOS, Ubuntu und Windows 7. Die Themen Internetpolitik und China interessieren ihn besonders.

Recent Posts

Studie: Ein Drittel aller E-Mails an Unternehmen sind unerwünscht

Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…

2 Tagen ago

HubPhish: Phishing-Kampagne zielt auf europäische Unternehmen

Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…

3 Tagen ago

1. Januar 2025: Umstieg auf E-Rechnung im B2B-Geschäftsverkehr

Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.

3 Tagen ago

Google schließt schwerwiegende Sicherheitslücken in Chrome 131

Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…

3 Tagen ago

Erreichbarkeit im Weihnachtsurlaub weiterhin hoch

Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…

4 Tagen ago

Hacker missbrauchen Google Calendar zum Angriff auf Postfächer

Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…

5 Tagen ago