Backdoor in WordPress-Plugins: Supply-Chain-Angriff trifft über 1,2 Millionen Websites
Am Abend des 12. Juni 2026 entdeckten Sicherheitsforscher der Firma Sansec, dass aus den CDN-Endpunkten von Awesome Motive manipulierte JavaScript-Dateien ausgeliefert wurden. Betroffen waren drei der meistgenutzten WordPress-Plugins des Unternehmens: OptinMonster, TrustPulse und PushEngage. Zusammen sind diese Plugins auf über 1,2 Millionen Websites weltweit aktiv.
Was passiert ist
Der Angriff zielte nicht auf die Webserver der betroffenen Seitenbetreiber, sondern direkt auf die Auslieferungsinfrastruktur von Awesome Motive. Wer eines der betroffenen Plugins nutzte, lud die manipulierten Skripte automatisch vom zentralen CDN des Anbieters, ohne dass dafür ein eigener Fehler notwendig gewesen wäre.
Die eingeschleuste Payload blieb zunächst inaktiv und wartete, bis ein angemeldeter Administrator eine Seite mit dem betroffenen Plugin aufrief. Erst dann wurde die Routine aktiv: Das Skript erfasste Authentifizierungstoken und Nonces des Admin-Browsers, legte damit heimlich einen neuen Administrator-Account an (fest codierter Nutzername developer_api1, zufällige Varianten nach dem Muster dev_xxxxxx) und installierte ein verstecktes Backdoor-Plugin, das sich aktiv vor dem WordPress-Dashboard verbarg. Die so erbeuteten Zugangsdaten wurden an die Domain tidio.cc übermittelt, eine Lookalike-Domain der legitimen Plattform Tidio. Diese Infrastruktur war bereits am 28. April 2026 registriert worden, gut sieben Wochen vor dem eigentlichen Angriff.
Das installierte Backdoor-Plugin trat unter wechselnden Namen auf (Content Delivery Helper, Database Optimizer) und generierte bei jeder Installation eine leicht abgewandelte Version, um signaturbasierte Erkennung zu erschweren. Es öffnete einen Web-Shell-Zugang namens WPM File Manager & Shell, der Angreifern vollständige Kontrolle über den Webserver ermöglichte: Code ausführen, Dateien hochladen und herunterladen, alles ohne weitere Authentifizierung.
Zeitlicher Ablauf
OptinMonster und TrustPulse lieferten den Schadcode am 12. Juni zwischen 22:17 und 22:42 UTC aus, also etwa 25 Minuten. PushEngage war länger betroffen und stellte die Auslieferung des manipulierten Skripts erst am 13. und 14. Juni vollständig ein. Awesome Motive bestätigte den Vorfall und gab an, den kompromittierten CDN-API-Schlüssel widerrufen, den betroffenen Marketing-Server migriert und alle Zugangsdaten rotiert zu haben. Wie Angreifer in die Auslieferungsinfrastruktur gelangen konnten, ist öffentlich bisher nicht beklärt.
Warum das gefährlich ist
Sobald ein Admin-Account kompromittiert ist, haben Angreifer vollständige Kontrolle über die WordPress-Installation. Das bedeutet: Kundendaten abgreifen, Besucher auf Phishing-Seiten umleiten, SEO-Spam einschleusen oder die Website als Ausgangspunkt für weitere Angriffe nutzen. Wer eine betroffene Site betreibt, auf der während des Angriffsfensters ein Administrator eingeloggt war, muss davon ausgehen, dass die Kompromittierung bereits stattgefunden hat. Das erzwungene Update von WordPress.org entfernt die CDN-Manipulation, bereinigt aber keinen bereits in wp-config.php eingeschleusten Code.
- Benutzerliste im WordPress-Dashboard und direkt in der Datenbank auf Accounts mit den Namen developer_api1 oder dem Muster dev_xxxxxx prüfen und entfernen
- Das Dateisystem unter wp-content/plugins direkt (nicht nur das Dashboard) auf Verzeichnisse oder Dateien mit den Namen content-delivery-helper oder database-optimizer durchsuchen und bereinigen
- Die Datei wp-config.php auf eingeschleusten Fremdcode prüfen, weil das erzwungene Update diese Datei nicht bereinigt hat
- Alle WordPress-Administrator-Passwörter und alle API-Schlüssel rotieren, die auf dem betroffenen Server hinterlegt waren
- Server-Logs aus dem Zeitraum 12. bis 14. Juni 2026 auf ausgehende Verbindungen zu tidio.cc oder unbekannten Domains prüfen
