Was musste ich im Schweizer WordPress Magazin lesen? Es gibt Betrüger, die eine WordPress-Version (2.6.4) anbieten, die so manipuliert ist, dass sensible Daten an die Hacker geschickt werden. Ein erneuter Vorfall von dreistem Datenklau .

Ich wäre persönlich nie auf die Idee gekommen, mein WordPress-Update von einer mir unbekannten Seite zu beziehen. Jedoch ist es wohl so gewesen, dass eine Sicherheitslücke in WP ausgenutzt wurde um so die übliche Update-Meldung im Dashboard erscheinen zu lassen. Der Download von der Seite “wordpresz.org” (zur Zeit nicht mehr erreichbar) war eine manipulierte Version 2.6.3., die durch die Modifizierung der pluggable.php in der Lage war, die Daten aus den WordPress-Cookies an die Hacker-Seite zu schicken. Somit hatten die Hacker Zugriff auf die “upgedateten” Blogs und konnten alle Daten auslesen, Beiträge verändern etc.

Wer sein WordPress updaten möchte, sollte also DE-Version Benutzer vorher auf die Seiten von WordPress-Deutschland nach sehen, welche Version aktuell ist. Für die Benutzer der englischen Version empfiehlt sich ein Blick auf die Seiten von WordPress.org. Wenn man die Version mit der angebotenen im Dashboard verglichen hat, und keine Abweichung in der Versionsnummer feststellt, bzw. eine Update-Meldung findet, kann man getrost das Update machen. Es ist also ein wenig Vorsicht geboten.

Die Sicherheitslücke soll wohl in der aktuellen Version 2.6.3 geschlossen worden sein. Da sieht man mal wieder, wie wichtig Updates sind.