WordPress: 31 Plugins über Flippa-Kauf mit Backdoor versehen
Ein Angreifer kaufte 31 WordPress-Plugins legal auf Flippa, fügte eine inaktive Backdoor ein und wartete 8 Monate, bevor er sie aktivierte. Die Command-and-Control-Domain wurde über einen Ethereum-Smart-Contract aufgelöst — womit die C2-Schicht blockchain-veränderbar und gegenüber standardmäßigen DNS-seitigen Takedowns resistent ist. Da Plugins standardmäßig mit vollem Datenbank- und Dateisystemzugriff laufen, erhielt der Angreifer durch die Aktivierung uneingeschränkten Host-Zugriff auf alle betroffenen Seiten. 96 % der jüngsten WordPress-CVEs lassen sich auf Plugins zurückführen.
Warum das relevant ist
Kein CVE kann einen legitimen Kauf verhindern. Plugin-Vertrauensmodelle, die auf dem Marktplatz-Ruf basieren, sind gegen diese Klasse von Ruhezustands-Supply-Chain-Angriffen wirkungslos. Cloudflares neues MIT-lizenziertes Mdash-Projekt antwortet darauf mit per-Plugin manifest-deklariertem Capability-Sandboxing — der strukturellen Gegenmaßnahme, die der WordPress-Architektur fehlt.