Der Angreifer greift seine Opfer nicht einzeln an, sondern präpariert etwas, das sie alle installieren. MITRE führt diese Technik als „Supply Chain Compromise“: Der Angreifer manipuliert ein Produkt oder seinen Auslieferungsweg, bevor es beim Endnutzer ankommt. Für eine WordPress-Website heißt das: Ein völlig normales Update, vom richtigen Anbieter und über den richtigen Kanal, kann eine Backdoor installieren.
Die möglichen Einfallstore
OWASP hat daraus in seinen Top 10 von 2025 eine eigene Kategorie gemacht („Software Supply Chain Failures“), die Fehler beim Erstellen, Verteilen und Aktualisieren von Software umfasst. Im WordPress-Umfeld gibt es vier Szenarien:
- Das Konto des Entwicklers wird gestohlen, oft mit einem Passwort, das schon anderswo geleakt wurde;
- das Plugin wird gekauft, und der neue Eigentümer darf ganz legitim neue Versionen veröffentlichen;
- der Update-Server eines Premium-Anbieters wird gehackt;
- die Build-Pipeline (Code-Repository, Continuous Integration) wird schon vorher kompromittiert.
Reale Beispiele
Außerhalb von WordPress nennt OWASP die Kompromittierung von SolarWinds im Jahr 2019, die über ein Software-Update rund 18.000 Organisationen erreichte. Bei WordPress steht jeder der vier dokumentierten Angriffe zwischen 2024 und 2026 für eines der Einfallstore: fünf Plugins auf wordpress.org, die im Juni 2024 über Entwicklerkonten manipuliert wurden, ein Paket von 31 Plugins, das gekauft und dann präpariert wurde, eine Version von Smart Slider 3 Pro, die vom Server des Anbieters selbst verteilt wurde, und Pro-Plugins von ShapedPlugin, die in ihrer Build-Pipeline kompromittiert wurden. Zuletzt wurde Rank Math PRO 3.0.123 einige Stunden lang manipuliert ausgeliefert, und bei TeamUpdraft gestohlene UpdraftCentral-Schlüssel dienten dazu, schädliche Plugins zu installieren.
So senkst du das Risiko
Du kannst nicht jede Codezeile eines Updates selbst prüfen. Du kannst aber deine Angriffsfläche verkleinern und die Anzeichen einer Kompromittierung schnell erkennen:
- Weniger Abhängigkeiten: Jedes Plugin ist ein weiterer Lieferant. Lösche die, die du nicht mehr nutzt.
- Eigentümerwechsel im Blick behalten: Eine Übernahme ist an sich nicht verdächtig, aber ein genauer Blick auf die folgenden Versionen lohnt sich.
- Premium-Updates staffeln: Spiele sie auf wichtigen Websites zuerst auf einer Staging-Umgebung ein, ohne dringende Sicherheitskorrekturen hinauszuzögern.
- Deine eigenen Entwickler- oder Agenturkonten schützen, mit Zwei-Faktor-Authentifizierung: WordPress.org hat sie für Plugin- und Theme-Autoren ab Oktober 2024 zur Pflicht gemacht.
- Überwachen, was sich außerhalb des Plugins ändert: neue Administratoren, wp-config.php, der Ordner mu-plugins, Theme-Dateien.
Für WordPress: was WP Masquerade leisten kann
WP Masquerade analysiert keinen Plugin-Code und erkennt keine Malware, die in einem Update versteckt ist. Es hilft dir, die Folgen zu bemerken: Das Aktivitätsprotokoll von WP Masquerade Pro zeichnet das Anlegen von Konten sowie die Installation und Aktualisierung von Plugins auf. So kannst du eine Kompromittierung zeitlich einordnen und einen hinzugefügten Administrator finden. Die Integritätsprüfung deckt nur die Dateien des WordPress-Cores ab, nicht die Plugin-Dateien: Wird ein Plugin, das du nutzt, als manipuliert gemeldet, folge der Bereinigungsanleitung des Anbieters oder der Sicherheitsforscher und spiele im Zweifel ein sauberes Backup ein.