Das WordPress-Plugin Captcha besitzt eine eingebaute Hintertür, über die Betrüger auf die WordPress-Seiten zugreifen können. Die Sicherheitsforscher von WordFence warnen davor. In der neuesten Version 4.4.5 von Captcha soll diese Backdoor nicht mehr enthalten sein.
Das Plugin Captcha kommt auf 300.000 WordPress-Seiten zum Einsatz. Deren Admins sollten sicherstellen, dass sie auch die Backdoor-freie aktuelle Ausgabe installiert haben – laut den Sicherheitsforschern wird die Backdoor seit der Version 4.3.7 mit ausgeliefert.
Jetzt darf der Entwickler das Plugin nur noch mit vom WordPress-Team überprüften Updates aktualisieren. Die verseuchte Version wurde nämlich an WordPress vorbei automatisch an Nutzer ausgeliefert. Wenn man sich den Entwickler Simplywordpress näher anschaut, schrumpft das Vertrauen aber weiter und es empfiehlt sich eher, das Plugin dauerhaft zu entfernen.
Merkwürdige Vorkommnisse
Simplywordpress wechselte im September den Besitzer. Der Name des neuen Eigentümers wurden dabei aber nicht bekannt gegeben. Wer wirklich hinter der Firma steckt, ist also bis heute unklar.
WordFence ist allerdings während den Recherchen nach eigenen Angaben immer wieder auf den Namen einer Person gestoßen, die schon früher WordPress-Plugins aufgekauft hat, um darüber Backlinks auf den WordPress-Webseiten zu platzieren.
So hat er den Page Rank seiner geschäftlichen Internetseiten gepusht, damit diese bei einer Internetsuche besser gefunden werden. Das soll angeblich auch Sinn und Zweck der Hintertür in Captcha sein.
Simplywordpress hat mit Convert me Popup, Death To Comments, Human Captcha, Smart Recaptcha, Social Exchange noch weitere mit einer Hintertür ausgestattete Plugins im Angebot.
Diese sind aber nicht in der offiziellen Plugin-Quelle von WordPress verfügbar. Man konnte sie bisher auf der Webseite der Entwickler herunterladen – allerdings ist die zurzeit offline. Das sagt doch eigentlich alles…
