Backdøre plantet i duetvis WordPress-plugins efter ejerskifte

En større sikkerhedsskandale har ramt WordPress-økosystemet. Ifølge TechCrunch blev duetvis WordPress-plugins, som tilsammen benyttes på tusinder af websites verden over, infiltreret med ondsindet kode efter, at pluginerne blev overdraget til en ny virksomhedsejer.

Hackers formåede at få adgang til plugin-udviklernes legitimationsoplysninger og plantede bagdøre – altså skjulte indgange – i den tilbagevendende kode. De formåede dermed at distribuere malware til alle websites, som brugte disse plugins.

En klassisk svaghed i open source-verden

Sårbarheden illustrerer en velkendt risiko ved handel med open source-projekter. Når mindre, velintegrerede plugins bliver solgt eller opgraderet, sker det ofte med minimal gennemgang af, hvem der får kontrol over koden. Hackers udnyttede præcis denne mangel på oversight ved at påtvinge sig adgang til plugin-administrationsgrænsesnit umiddelbart efter ejerskiftet.

Tusinder af websites i risikogruppen

Det præcise antal kompromitterede websites kendes endnu ikke, men eksperter vurderer, at et betydeligt antal brugere blev ramt, før sikkerheds-community'et opdagede angrebet. WordPress-brugere er blevet opfordret til omgående at opdatere deres plugins og gennemgå deres websites for tegn på uautoriseret aktivitet.

Hændelsen understreger behovet for stærkere sikkerhedsprotokller omkring ejerskaber og overdragelser af populære open source-projekter. Uden en koordineret process for sådan adgang risikerer millioner af websites at blive blottet for cyberkriminelle.