Ungewöhn­licher Supply-Chain-Angriff über WordPress-Plugins

Am 15.06.2026 wurde ein Angriff bekannt, der zeigt, dass selbst eine perfekt gepflegte Website verwundbar sein kann. Betroffen sind drei sehr verbreitete Marketing-Plugins:

• OptinMonster
• TrustPulse
• PushEngage

Weitere Plugins dieses Herstellers, wie WPForms, All in One SEO und Monsterinsights, sind nach aktuellem Wissensstand nicht betroffen.

Über die Auslieferungsserver des Herstellers wurde manipuliertes JavaScript an Live-Websites ausgespielt. Nach Einschätzung der Sicherheitsforscher von Sansec waren dadurch potenziell mehr als 1,2 Millionen Websites exponiert. Das Unangenehme daran: Der Angriff fand nicht auf dem eigenen Server statt, sondern auf den CDN-Servern des Herstellers.

Konkrete Schritte: prüfen und aufräumen

Wenn Sie eines der drei Plugins eingesetzt haben und ein Administrator im Zeitfenster 12. bis 14. Juni eingeloggt war, behandeln Sie die Website vorsichtshalber als möglicherweise kompromittiert. Dass der Hersteller sein CDN inzwischen bereinigt hat, säubert eine bereits angegriffene Website nicht.

1. Administrator-Konten kontrollieren: Man sollte nach einem Benutzer developer_api1 (E-Mail customer1usx@gmail.com) sowie nach Konten nach dem Muster dev_ plus sechs zufälligen Zeichen suchen, diese löschen und grundsätzlich jeden Admin-Account prüfen, der nicht zugeordnet werden kann.
2. Das Dateisystem prüfen, nicht nur das Dashboard: Die Backdoor versteckt sich vor der Backend-Oberfläche. Direkt im Verzeichnis wp-content/plugins/ sollte nach content-delivery-helper, database-optimizer oder jedem anderen unbekannten Plugin gesucht werden. Ebenso den Code nach den Zeichenketten developer_api1_fm und developer_api1_eval durchsuchen.
3. Serverseitig scannen: Ein Scan auf Dateiebene findet auch Varianten, die nicht unter den bekannten Namen laufen.
4. Bei einem Fund alles rotieren: Man sollte davon ausgehen, dass Angreifer Code ausführen konnten. Sämtliche Admin-Passwörter, API-Schlüssel, Datenbank-Zugangsdaten sowie die Sicherheitsschlüssel in der wp-config.php müssen erneuert werden.
5. Die Kontaktadresse der Schadsoftware blockieren: Die Domain tidio.cc auf DNS- oder Netzwerkebene sperren.

Damit sollte man auf der sicheren Seite sein.

Warum dieser Vorfall heraussticht

Wir greifen hier längst nicht jeden Sicherheitsvorfall auf – die meisten sind begrenzt und mit dem nächsten Update erledigt. Dieser Fall ist eine Ausnahme, und zwar aus drei Gründen, die jeweils eine gängige Sicherheitsannahme aushebeln:

• Betroffen war mit Awesome Motive einer der größten und angesehensten Plugin-Anbieter. Es traf also nicht ein obskures Nischen-Plugin, sondern genau die Art von etabliertem Anbieter, dem man bedenkenlos vertraut.
• Da nichts am Plugin-Code verändert wurde, sondern nur auf den CDN-Servern des Herstellers, war eine vollständig gepflegte Website genauso verwundbar wie eine vernachlässigte.
• Der Schadcode arbeitete mit der echten Sitzung eines eingeloggten Admins. Für den Server sah jede Aktion aus wie reguläre Backend-Arbeit, herkömmliche Schutzmechanismen schlugen kaum an.

Nicht eine besonders exotische Technik macht diesen Fall also ernst, sondern dass er die üblichen Sicherheitsannahmen gleich an mehreren Stellen gleichzeitig durchbricht.

Was genau passiert ist

OptinMonster, TrustPulse und PushEngage gehören zum Portfolio von Awesome Motive, einem der größten Anbieter für WordPress-Plugins. Alle drei laden im Frontend ein kleines JavaScript-Paket vom CDN des Herstellers nach, ein völlig übliches Vorgehen für diese Art von Tools.

Genau diesen Mechanismus haben die Angreifer ausgenutzt. Über eine Schwachstelle in einem Dritt-Plugin verschafften sie sich Zugang, griffen einen CDN-Zugangsschlüssel ab und hängten an die legitimen, ausgelieferten Skriptdateien zusätzlichen Schadcode an. Die Dateien funktionierten weiter normal, der Angriffscode lief einfach mit.

Wichtig: Es wurde kein Plugin-Update ausgespielt. Die Manipulation passierte ausschließlich im CDN. Aktiv wurde der Code nur im Browser eines eingeloggten Administrators. Normale Besucher lösten ihn nicht aus. Wer als Admin auf der Website unterwegs war, hat dem Angriff unbemerkt seine eigene, gültige Sitzung geliehen.

Sobald ein Admin eine betroffene Website öffnete, prüfte der Code zunächst, ob er sich wirklich in einem echten WordPress-Backend befindet und er sich vor Analyse-Werkzeugen verstecken kann. Danach besorgte er sich einen gültigen Sicherheits-Token und handelte ab da mit den vollen Rechten des angemeldeten Admins.

Konkret legte der Code im Hintergrund folgendes an:

• versteckte Administrator-Konten
• ein Backdoor-Plugin, das sich unter harmlos klingenden Namen tarnt und sich aktiv aus Plugin-Liste, Benutzerübersicht und Update-Ansicht ausblendet
• eine Verbindung nach außen zu einer Domain, die einem bekannten Dienst täuschend ähnlich sieht, um die Datenübertragung unverdächtig wirken zu lassen

Es handelt sich also nicht um eine einzelne Sicherheitslücke, die man mit einem Update schließt, sondern um eine vollständige Übernahme einzelner Websites.

Die eigentliche Lehre

Der wichtigste Punkt geht über diesen einen Vorfall hinaus: Die Software-Lieferkette endet nicht bei den Plugins, die man installiert. Sie reicht bis zu jedem externen Skript, das diese Plugins zur Laufzeit nachladen. Eine voll gepatchte, sauber konfigurierte Website kann trotzdem getroffen werden, wenn das Vertrauen in ein fremdes CDN ausgenutzt wird.

Und dieser Vorfall steht nicht allein. Er ist Teil einer klar erkennbaren Welle: Allein in den Monaten zuvor traf es über 20 Plugins des Anbieters EssentialPlugin, das beliebte Smart Slider 3 Pro und – im Magento-Umfeld – eine Backdoor in Erweiterungen, die sechs Jahre lang unentdeckt blieb.

Daraus ergeben sich ein paar dauerhaft sinnvolle Gewohnheiten: externe Skripte und Plugins auf das Nötige reduzieren, wissen, was die eingesetzten Plugins von außen nachladen, regelmäßig serverseitig scannen, Administrator-Konten in festen Abständen durchsehen, Rechte sparsam vergeben, und im Backend nicht dauerhaft als Admin unterwegs sein.

Unsicher, ob Ihre Website betroffen ist?

Wenn Sie eines der genannten Plugins einsetzen und nicht sicher sind, ob Ihre Website kompromittiert wurde, prüfen wir das gern für Sie. Melden Sie sich einfach bei uns.

Quellen und weiterführende Analysen: die ursprüngliche Untersuchung von Sansec, die technische Auswertung von Patchstack, die Offenlegung von OptinMonster sowie die deutschsprachige Berichterstattung bei Golem.

David Damjanovic

David Damjanovic betreibt seit 2004 eigene Websites, arbeitet seit 2006 mit WordPress und hat 2011 die WordPress Agentur wp-agentur gegründet, eine der ersten in D-A-CH.