Ex-Mitarbeiter hackt WordPress-Plug-in und verbreitet Spam

Nutzer des weit verbreiteten WordPress-Plug-ins WP Multilingual (WPML) haben am Wochenende per E-Mail ein angebliches Rundschreiben eines Sicherheitsforschers erhalten, worin sie über ungepatchte Sicherheitslücken informiert wurden. Die Nachrichten wurden jedoch von einem ehemaligen Mitarbeiter verschickt, der zuvor das Plug-in und auch die Website seines Ex-Arbeitgebers gehackt hatte.

WPML gilt das als das am häufigsten genutzte Plug-in, um Inhalte zu übersetzen und WordPress-Websites in mehreren Sprachen anzubieten. Der Anbieterseite zufolge hat das Plug-in mehr als 600.000 zahlende Nutzer. Aufgrund seiner großen Beliebtheit muss es nicht einmal für sich im offiziellen Plug-in-Repository von WordPress mit einer kostenlosen Version werben.

In der E-Mail behauptete der Mann, das WPML-Team habe seine Berichte über mehrere Anfälligkeiten in dem WPML-Plug-in ignoriert. Die Empfänger forderte er auf, zu prüfen, ob ihre Seiten kompromittiert wurden und das Plug-in zu entfernen. Darüber hinaus veränderte er auch Inhalte der WPML-Website. Den Text des Rundschreibens veröffentlichte er dort als Blogeintrag und zur Liste der Plug-in-Funktionen fügte er „Sicherheitslücken“ hinzu.

Kurz darauf wurden die Vorwürfe jedoch vom WPML-Team vehement dementiert. Dessen E-Mail zufolge stammte die irreführende Warnung von einem ehemaligen Mitarbeiter, der eine Hintertür in der offiziellen Website hinterlassen habe, um auf Server und Kundendatenbank zuzugreifen. Mit den Daten habe er das Rundschreiben generiert und auch den Beitrag im Firmenblog verfasst.

Den Entwicklern zufolge wurden keine Finanzdaten kompromittiert. Der Hacker sei auch nicht in der Lage gewesen, Quellcode einzusehen oder gar zu manipulieren. Sie schließen aber nicht aus, dass der ehemalige Mitarbeiter Daten erbeutete, die es ihm erlauben, sich in die Konten der Kunden einzuloggen.

Nach Angaben des Unternehmens wird nun der kompromittierte Server neu aufgesetzt, um auch die Hintertür zu entfernen. Außerdem sollen alle Kunden-Passwörter zurückgesetzt werden.

Ob der WPML-Anbieter nun auch rechtlich gegen den ehemaligen Mitarbeiter vorgeht ist nicht bekannt. In dem Fall würde ihm zumindest in den USA eine mehrjährige Haftstrafe drohen.