All-in-One-WP-Migration-Lücke: Wird mein eigenes Backup zur Falle?

Bei den meisten kritischen WordPress-Lücken schlägt der Angriff sofort zu: Anfrage rein, Schadcode läuft. Hier ist es zweistufig. Zuerst schickt ein Angreifer präparierte Trackbacks an einen öffentlich erreichbaren Beitrag. Diese Daten liegen danach einfach in der Datenbank und tun nichts – die Seite verhält sich völlig normal.

Der zweite Schritt kommt vom Betreiber selbst. Sobald jemand mit dem Plug-in exportiert, importiert oder eine Sicherung zurückspielt, schreibt All-in-One WP Migration Adressen und Tabellenpräfixe im Datenbestand um – und verarbeitet dabei die hinterlegten Daten fehlerhaft. Genau dann wird aus dem harmlosen Eintrag eine ausgeführte Datenbankabfrage. Fachleute sprechen von einer „Second-Order-SQL-Injection“: Die Falle wird vorab ausgelegt und von der Administration selbst ausgelöst.

Das Ziel der Angreifer ist der geheime Schlüssel des Plug-ins. Wer ihn kennt, kann den Importvorgang ohne Anmeldung anstoßen und ein manipuliertes Archiv einspielen – darüber ist bis zur Ausführung von Schadcode auf dem Server und zur Übernahme der Website alles möglich.

Bemerkenswert ist vor allem die Update-Quote: Anfang September hatte erst rund ein Drittel der Nutzerschaft auf die reparierte Fassung gewechselt. Damit laufen weiterhin Millionen Seiten mit einer verwundbaren Version – viele davon vermutlich, weil das Plug-in nur gelegentlich für Umzüge gebraucht und ansonsten vergessen wird.

Die Prüfung dauert keine zwei Minuten:

• ✓Ist „All-in-One WP Migration“ in deiner WordPress-Installation überhaupt vorhanden? Auch ein deaktiviertes, aber installiertes Plug-in gehört auf den aktuellen Stand – oder entfernt.
• ✓Steht im Adminbereich unter „Plugins“ eine Version älter als 7.110? Dann aktualisieren, bevor der nächste Export oder Import läuft.
• ✓Sind auf deiner Seite Trackbacks bzw. Pingbacks aktiv? Über sie kommt der vorbereitende Teil des Angriffs herein – wer sie nicht braucht, kann sie unter „Einstellungen › Diskussion“ abschalten.

Wichtig ist die Reihenfolge: erst aktualisieren, dann sichern. Wer zuerst ein Backup mit der alten Version zieht, löst genau den Vorgang aus, auf den es die Angreifer abgesehen haben.

Version 7.110 schließt die Lücke. Sie macht aber nichts rückgängig, was vorher passiert sein könnte. Wer in den vergangenen Wochen mit einer alten Version exportiert oder importiert hat, sollte die Seite zusätzlich anschauen: unbekannte Administrationskonten, veränderte Optionen in der Datenbank, fremde Dateien im Uploads-Ordner und auffällige Kommentar- oder Trackback-Einträge.

Dazu ein Punkt, der bei Backup-Plug-ins gern übersehen wird: Fertige .wpress-Archive liegen häufig im Uploads-Ordner der Website. Sie enthalten die komplette Datenbank samt Zugangsdaten – wer sie dort dauerhaft liegen lässt, verschenkt Sicherheit ganz unabhängig von dieser Lücke. Besser: Sicherungen herunterladen, außerhalb der Website aufbewahren und auf dem Server löschen.

Laufende Angriffe auf diese Lücke sind bislang nicht bekannt. Das ist eine Momentaufnahme, keine Entwarnung: Sobald technische Details öffentlich kursieren, dauert es bei derart verbreiteten Plug-ins erfahrungsgemäß nicht lange bis zu automatisierten Scans.

Du weißt nicht, ob All-in-One WP Migration auf deiner Seite läuft – oder in welcher Version? Wir schauen nach: Wir kontrollieren, ob dein WordPress eine verwundbare Fassung des Plug-ins enthält, und spielen bei Bedarf das schließende Update ein. Du erhältst eine klare Rückmeldung, ob Handlungsbedarf besteht. Eine forensische Suche nach bereits erfolgten Angriffen ist bewusst nicht Teil dieser Prüfung.