WordPress-sites gehackt via zero-day-exploit

WordPress-sites van goede doelen, liefdadigheidsinstellingen en andere organisaties die gebruikmaken van de Total Donations-plug-in worden op dit moment actief aangevallen door kwaadwillenden.

De aanvallers maken gebruik van een zero-day kwetsbaarheid: een lek waarvoor nog geen patch beschikbaar is. Securitybedrijf Wordfence raadt aan om de plug-in te verwijderen.

Buiten WordPress repository

Met de plug-in Total Donations kan een WordPress-sites campagnes en beoogde doelen opgeven. Voor de plug-in dient betaald te worden; hij is verkrijgbaar buiten de WordPress repository. Via de kwetsbaarheid kunnen kwaadwillenden beheerderstoegang krijgen en zo de website overnemen.

Geen patch

De kwetsbaarheid bevindt zich in versie 2.0.5 en alle oudere versie. De onderzoekers van Wordfence die het lek ontdekten, kwamen nog tientallen andere beveiligingslekken tegen in deze plugin. Het lukte de onderzoekers niet om in contact te komen met de ontwikkelaars ervan. Zij achten het onwaarschijnlijk dat er nog een patch voor ontwikkeld zal worden. Gebruikers wordt aangeraden om Total Donations definitief te verwijderen; alleen deactiveren zou niet voldoende zijn.

Aanmelden voor onze nieuwsbrief