Nutzer des weit verbreiteten WordPress-Plug-ins WP Multilingual (WPML) haben am Wochenende per E-Mail ein angebliches Rundschreiben eines Sicherheitsforschers erhalten, worin sie über ungepatchte Sicherheitslücken informiert wurden. Die Nachrichten wurden jedoch von einem ehemaligen Mitarbeiter verschickt, der zuvor das Plug-in und auch die Website seines Ex-Arbeitgebers gehackt hatte.
In der E-Mail behauptete der Mann, das WPML-Team habe seine Berichte über mehrere Anfälligkeiten in dem WPML-Plug-in ignoriert. Die Empfänger forderte er auf, zu prüfen, ob ihre Seiten kompromittiert wurden und das Plug-in zu entfernen. Darüber hinaus veränderte er auch Inhalte der WPML-Website. Den Text des Rundschreibens veröffentlichte er dort als Blogeintrag und zur Liste der Plug-in-Funktionen fügte er „Sicherheitslücken“ hinzu.
Kurz darauf wurden die Vorwürfe jedoch vom WPML-Team vehement dementiert. Dessen E-Mail zufolge stammte die irreführende Warnung von einem ehemaligen Mitarbeiter, der eine Hintertür in der offiziellen Website hinterlassen habe, um auf Server und Kundendatenbank zuzugreifen. Mit den Daten habe er das Rundschreiben generiert und auch den Beitrag im Firmenblog verfasst.
Den Entwicklern zufolge wurden keine Finanzdaten kompromittiert. Der Hacker sei auch nicht in der Lage gewesen, Quellcode einzusehen oder gar zu manipulieren. Sie schließen aber nicht aus, dass der ehemalige Mitarbeiter Daten erbeutete, die es ihm erlauben, sich in die Konten der Kunden einzuloggen.
Nach Angaben des Unternehmens wird nun der kompromittierte Server neu aufgesetzt, um auch die Hintertür zu entfernen. Außerdem sollen alle Kunden-Passwörter zurückgesetzt werden.
Ob der WPML-Anbieter nun auch rechtlich gegen den ehemaligen Mitarbeiter vorgeht ist nicht bekannt. In dem Fall würde ihm zumindest in den USA eine mehrjährige Haftstrafe drohen.
Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
