wp2shell: wenn der Managed Hoster für WordPress zu spät patcht

Am Freitag, dem 17.07., erhielt ich ab 20:30 Uhr dutzende automatische E-Mails von Kundenwebsites mit der Information, dass ein Update auf WordPress 7.0.2 (bzw. 6.9.5 und 6.8.6) durchgeführt wurde. Zu diesem Zeitpunkt war im Internet noch nichts darüber zu finden.

Am nächsten Tag erfuhr ich, dass es sich um ein Security-Update handelt, das die sogenannte wp2shell-Sicherheitslücke schließt.

Der Ablauf:

1. Die Sicherheitslücke wurde WordPress vertraulich gemeldet.
2. WordPress hat den Sachverhalt untersucht und eine vertrauliche Vorabinformation an Security-Dienstleister und Hoster verschickt.
3. WordPress hat die Sicherheitslücke in den betroffenen Versionen geschlossen und das Update am Freitag, dem 17.07., unangekündigt per automatischem Forced Update ausgerollt. Bei unseren Kunden zwischen 20:30 und 21:30 Uhr.
4. Am Samstag wurden die ersten tatsächlichen Angriffsversuche registriert – die im Normalfall auf längst geschützte WordPress-Installationen und vorbereitete Firewalls trafen.

Normalerweise berichte ich nicht über Minor- bzw. Security-Updates, anders als bei außergewöhnlichen Sicherheitsvorfällen wie dem Supply-Chain-Angriff Mitte Juni, der mehrere Plugins betraf, obwohl diese gar keine Sicherheitslücken aufwiesen.

Den wp2shell-Fall habe ich daher nicht im Blog kommuniziert. Security-Updates für den WordPress-Core werden automatisch ausgerollt – es sei denn, man deaktiviert diese Funktion bewusst (Opt-out). Das ist jedoch auf keinen Fall zu empfehlen und wurde bei keinem unserer Kunden aktiv gemacht.

Das Problem bei manchen Hostern

Brisant wurde es allerdings in den Tagen danach, als Informationen über einige Anbieter von Managed WordPress Hosting bekannt wurden.

Einer unserer Kunden ist mit zwei Websites bei einem namhaften Managed Hoster. Dort stellte sich nach unseren Recherchen heraus, dass das Sicherheitsupdate erst mit rund 1,5 Tagen Verzögerung ausgerollt wurde. Auch die Firewall wurde erst etwa einen Tag später angepasst. Das bedeutet, dass der Kunde während dieser Zeit einem ernstzunehmenden Risiko ausgesetzt war, da in dem Zeitraum bereits erste Angriffe auf Websites dokumentiert wurden. Glücklicherweise blieben die Websites unversehrt.

Gestern informierte mich ein Supportkunde darüber, dass sein Hoster – ein anderer namhafter Anbieter, der zu einem großen Unternehmen gehört – sich scheinbar (ich kann das aktuell noch nicht sicher belegen) überhaupt nicht um das Sicherheitsupdate gekümmert hat, bis die ersten erfolgreichen Angriffe auftraten. Ob der Kunde tatsächlich betroffen ist, ist derzeit unbekannt. Der Zugang zur Website ist gesperrt und es wird lediglich angeboten, ein Backup vom 16.07. einzuspielen. Das alles ist hochgradig problematisch.

Was ist Managed Hosting für WordPress überhaupt?

Managed WordPress Hosting ist WordPress-Hosting, bei dem der Anbieter einen Teil des technischen Betriebs übernimmt, um den man sich ansonsten selbst kümmern müsste. Dazu gehören je nach Anbieter beispielsweise Core- und teilweise Plugin-Updates, automatische Backups, Sicherheitsmonitoring, eine Web Application Firewall (WAF) oder eine Staging-Umgebung zum Testen. Im Gegensatz zu klassischem Hosting greift der Hoster dabei aktiv in den Betrieb der WordPress-Installation ein und übernimmt Entscheidungen, die man bei einem selbst verwalteten Hosting selbst treffen würde.

Der Kern des Versprechens ist Bequemlichkeit: Man zahlt mehr als für normales Hosting und gibt dafür einen Teil des Wartungsaufwands ab. „Wir kümmern uns um die Technik, Sie kümmern sich um die Inhalte.“ Im Gegenzug hat man meist weniger Kontrolle und ist von den Update-Prozessen des Anbieters abhängig.

Genau hier liegt das Problem: Viele Managed-Anbieter klinken sich in die Update-Pipeline ein und spielen Sicherheitsupdates erst verzögert ein. Bei einer normalen Major-Version ist dieses Vorgehen sinnvoll. Bei einer aktiv ausgenutzten kritischen Sicherheitslücke kann dieser „gemanagte“ Zwischenschritt jedoch dazu führen, dass eine Website deutlich später gepatcht wird als eine selbst gehostete WordPress-Installation mit aktivierten automatischen Updates.

In Zeiten von KI, in denen Sicherheitslücken nicht mehr erst nach Tagen oder Wochen, sondern oft schon nach wenigen Stunden ausgenutzt werden, ist das ein ernstzunehmendes Problem, auf das scheinbar noch nicht angemessen reagiert wird.

Weitere Informationen beim BSI.

David Damjanovic

David Damjanovic betreibt seit 2004 eigene Websites, arbeitet seit 2006 mit WordPress und hat 2011 die WordPress Agentur wp-agentur gegründet, eine der ersten in D-A-CH.