Eine erst vor wenigen Wochen bekannt gewordene Sicherheitslücke im Plugin MailPoet des CMS Wordpress wird zurzeit verstärkt ausgenutzt, um darüber komplette Webserver zu kapern. Am 1. Juli wurde dagegen schon das Update 2.6.7 bereitgestellt, das die Sicherheitslücke schließt.
Durch diese Sicherheitslücke können Angreifer beliebige PHP-Dateien auf den Server hochladen, die dann dort alles Mögliche anstellen, zum Beispiel Spam versenden, Malware hosten oder andere Benutzer auf geteilten Servern infizieren.
Die dagegen sichere Version des MailPoet-Plugins für WordPress ist die 2.6.7, aktuell ist aber die Version 2.6.9. Wer nicht schon zumindest das Update2.6.7 installiert hat, sollte das jetzt umgehend nachholen.
Ist eine WordPress-Installation erst mal infiziert, dann reicht das Update alleine zum Säubern des Servers nicht mehr aus, dann muss hochgeladener Schadcode mühsam auf dem Server gesucht und entfernt werden…