Kritische Sicherheitslücke im WordPress Plugin WP Ghost entdeckt: Wie du deine WordPress-Website vor Remote Code Execution schützt: Im WordPress-Sicherheits-Plugin WP Ghost wurde eine kritische Sicherheitslücke entdeckt, die als CVE-2025-26909 klassifiziert wurde. Diese Schwachstelle ermöglicht es Angreifern, beliebigen Code auf betroffenen Websites auszuführen und so die volle Kontrolle über das System zu erlangen. Besonders brisant ist, dass WP Ghost auf über 200.000 WordPress-Websites installiert ist und viele Betreiber sich auf das Plugin verlassen, um ihre Seiten zu schützen.

Die Schwachstelle betrifft alle Versionen von WP Ghost bis einschließlich Version 5.4.01. Der Fehler liegt in der Funktion showFile(), die aufgrund mangelnder Eingabevalidierung Angreifern ermöglicht, beliebige Dateien in den Code einzufügen und auszuführen.

Besonders betroffen sind Websites, die die „Change Paths“-Funktion im „Lite“ oder „Ghost“ Modus aktiviert haben. Obwohl diese Einstellung nicht standardmäßig aktiv ist, warnt der Sicherheitsdienst Patchstack, dass ein Local File Inclusion (LFI)-Angriff möglich ist, selbst wenn diese Modi nicht verwendet werden.

Welche Gefahr besteht für WordPress-Websites?

Falls diese Sicherheitslücke ausgenutzt wird, können Angreifer:

• Schadcode ausführen,
• volle Administratorrechte übernehmen,
• schadhafte Skripte oder Malware in die Website einschleusen,
• Benutzerdaten entwenden oder manipulieren,
• die Website als Teil eines Botnetzes missbrauchen.

So schützt du deine WordPress-Website

Um zu verhindern, dass deine Website von dieser Sicherheitslücke betroffen ist, solltest du sofort die folgenden Maßnahmen ergreifen:

1. Plugin-Update durchführen

Das WP Ghost-Entwicklungsteam hat bereits ein zweites Sicherheitsupdate auf Version 5.4.03 veröffentlicht, das die Schwachstelle schließt. Aktualisiere das Plugin umgehend über das WordPress-Backend:

• Gehe im WordPres-Backend auf Plugins > Installierte Plugins.
• Suche nach „WP Ghost“.
• Falls ein Update verfügbar ist, klicke auf „Jetzt aktualisieren“.

2. Regelmäßige Updates sicherstellen

Nicht nur WP Ghost, sondern auch WordPress selbst, Themes und andere Plugins sollten regelmäßig aktualisiert werden. Sicherheitslücken in älteren Versionen sind eine der häufigsten Einfallstore für Hacker.

• Aktiviere automatische Updates für Plugins und Themes, wenn möglich.
• Prüfe regelmäßig unter Dashboard > Aktualisierungen, ob Updates verfügbar sind.

3. Dateiberechtigungen einschränken

Um Angriffe durch Local File Inclusion (LFI) zu verhindern, solltest du die Berechtigungen wichtiger Dateien restriktiv setzen:

• wp-config.php (400 oder 440): Verhindert unbefugten Zugriff.
• wp-content/uploads (755 statt 777): Verhindert, dass Angreifer Schadcode hochladen.

4. Admin-Zugänge absichern

Viele Angriffe erfolgen durch gekaperte Admin-Accounts. Ergreife deshalb folgende Schutzmaßnahmen:

• Verwende starke Passwörter und aktiviere die Zwei-Faktor-Authentifizierung (2FA).
• Ändere den Standard-Admin-Benutzernamen „admin“ auf einen individuellen Namen.
• Nutze ein Sicherheits-Plugin, um unbefugte Anmeldeversuche zu blockieren.

5. Sicherheits-Plugins verwenden

Ergänzend zu WP Ghost solltest du ein zusätzliches Sicherheits-Plugin installieren, um deine Website zu überwachen und zu schützen:

• Sucuri Security: Erkennt verdächtige Aktivitäten und bietet Schutz gegen Brute-Force-Angriffe.
• Wordfence Security: Bietet eine Firewall, Malware-Scanner und Login-Schutz.

6. Regelmäßige Backups erstellen

Falls deine Website kompromittiert wird, sind aktuelle Backups essenziell. Nutze Plugins wie:

• UpdraftPlus: Ermöglicht automatische Backups.
• All-in-One WP Migration: Erstellt manuelle oder automatische Backups.

Die Sicherheitslücke in WP Ghost zeigt, wie wichtig es ist, WordPress-Websites regelmäßig zu aktualisieren und abzusichern. Falls du WP Ghost verwendest, aktualisiere das Plugin sofort auf Version 5.4.02 oder höher, um potenzielle Angriffe zu verhindern.

Durch stärkere Passwörter, Sicherheits-Plugins, eingeschränkte Dateiberechtigungen und regelmäßige Backups kannst du deine Website vor Hackerangriffen schützen.

In Zukunft gibt es im teufelswerk.net regelmäßig Sicherheits-Tipps, Ratgeber und Tutorials speziell für Website-Sicherheit, E-Commerce und Online-Shop-Security, das weltweit meistgenutzte CMS WordPress wird dabei keine untergeordnete Rolle spielen : )