Everest-Forms-Schwachstelle ermöglicht Angreifern die Übernahme von WordPress-Websites

Eine kritische Schwachstelle im Plugin Everest Forms Pro wird aktiv ausgenutzt und ermöglicht es Angreifern, anfällige WordPress-Websites vollständig zu übernehmen.

Sicherheitsforscher haben laufende Angriffe beobachtet, die auf die Schwachstelle abzielen. Diese ermöglicht es Bedrohungsakteuren ohne Authentifizierung, Administratorkonten ohne gültige Zugangsdaten zu erstellen. Sobald Angreifer Administratorrechte erlangen, können sie Inhalte verändern, bösartige Plugins installieren, Malware einschleusen oder langfristigen Zugriff auf kompromittierte Websites behalten.

Die Entdeckung hat zu dringenden Warnungen für WordPress-Administratoren geführt, die betroffene Versionen des beliebten Formular-Plugins einsetzen.

Die Schwachstelle ermöglicht die vollständige Übernahme von Websites

Die Everest-Forms-Schwachstelle betrifft die Premium-Version des Plugins und wurde als kritisch eingestuft.

Den Forschern zufolge können Angreifer die Schwachstelle ausnutzen, um reguläre Authentifizierungsmechanismen zu umgehen und neue Administratorkonten auf anfälligen Websites anzulegen. Da Administratorrechte die vollständige Kontrolle über eine WordPress-Installation ermöglichen, kann eine erfolgreiche Ausnutzung schnell zu einer vollständigen Kompromittierung führen.

Im Gegensatz zu Angriffen, die gestohlene Zugangsdaten erfordern, kann diese Schwachstelle aus der Ferne und ohne vorherigen Zugriff auf die Website ausgenutzt werden.

Dadurch steigt das Risiko für öffentlich erreichbare WordPress-Installationen, die noch nicht aktualisiert wurden, erheblich.

Die aktive Ausnutzung hat bereits begonnen

Forscher berichteten, dass Bedrohungsakteure die Schwachstelle kurz nach der Veröffentlichung der Details ins Visier nahmen.

Die Angriffe konzentrieren sich darauf, anfällige Websites zu identifizieren und automatisch gefälschte Administratorkonten zu erstellen. Sobald der Zugriff hergestellt ist, können die Angreifer die kompromittierte Website für unterschiedliche bösartige Zwecke nutzen.

Einige könnten Malware verbreiten oder Besucher auf betrügerische Webseiten umleiten. Andere könnten die kompromittierte Website als Teil einer größeren Angriffsinfrastruktur verwenden.

Die Geschwindigkeit der Ausnutzung zeigt, wie schnell Cyberkriminelle neu veröffentlichte WordPress-Schwachstellen in einsatzbereite Angriffswerkzeuge verwandeln.

WordPress-Plugins bleiben ein beliebtes Angriffsziel

WordPress betreibt einen erheblichen Teil des Internets, weshalb sein Plugin-Ökosystem regelmäßig ins Visier von Angreifern gerät.

Viele Website-Kompromittierungen gehen auf anfällige Plugins zurück, die zusätzliche Funktionen bereitstellen, aber gleichzeitig Sicherheitslücken einführen können. Formular-Plugins sind besonders attraktiv, da sie häufig Benutzereingaben verarbeiten und mit sensiblen Website-Funktionen interagieren.

Sicherheitsexperten empfehlen, die Anzahl unnötiger Plugins zu minimieren und Updates zu installieren, sobald sie verfügbar sind.

Regelmäßige Sicherheitsüberprüfungen können außerdem dabei helfen, veraltete Komponenten zu identifizieren, bevor Angreifer sie ausnutzen.

Website-Betreiber sollten sofort aktualisieren

Der Entwickler des Plugins hat bereits Updates veröffentlicht, die die Schwachstelle beheben.

Administratoren sollten die neueste Version so schnell wie möglich installieren und Benutzerkonten auf unbefugte Administratorprofile überprüfen. Sicherheitsteams sollten zudem Protokolle auf ungewöhnliche Kontoerstellungen untersuchen und mögliche Anzeichen einer Kompromittierung analysieren.

Organisationen, die die Installation der Updates verzögern, setzen ihre Websites weiterhin laufenden Angriffen aus.

Fazit

Die Everest-Forms-Schwachstelle zeigt, wie ein einziges anfälliges Plugin eine gesamte WordPress-Website gefährden kann. Da Angreifer ohne Authentifizierung Administratorkonten erstellen können, bietet die Schwachstelle einen direkten Weg zur vollständigen Übernahme einer Website.

Da die aktive Ausnutzung bereits im Gange ist, sollten betroffene Organisationen Updates priorisieren und ihre Umgebungen auf Anzeichen unbefugter Zugriffe überprüfen, bevor Angreifer einen dauerhaften Zugang etablieren können.