Breiter Supply-Chain-Angriff auf WordPress-Plugins
Das ist passiert:
Ein Angreifer hat mehrere WordPress-Plugins gekauft, verändert und anschließend durch eine versteckte Backdoor wieder veröffentlicht. Besonders brisant daran: Die Verbreitung erfolgte über reguläre Update-Mechanismen. Die Schadsoftware wurde also nicht durch klassische Angriffe eingeschleust, sondern über ganz normale Update-Prozesse in bestehende Systeme gebracht.
Die betroffenen WordPress-Plugins (Stand: 24. April 2026)
Nach derzeitigem Kenntnisstand wurden die folgenden Plugins im Zuge des Angriffs kompromittiert oder stehen im Zusammenhang mit manipulierten Entwicklerkonten:
- Social Warfare
- Blaze Widget
- WP Statistics (einzelne Versionen bzw. Varianten)
- Weitere kleinere Plugins aus übernommenen Entwickler-Accounts
Leider existiert derzeit keine abschließende, verlässliche Gesamtliste. Der Angriff zielte auf die Software-Lieferkette selbst ab und nicht auf einzelne, klar abgrenzbare Plugins. Deshalb könnten auch weitere Plugins betroffen sein.
Warum WordPress jetzt besonders im Fokus steht
Durch seine weite Verbreitung und sein offenes Plugin-Ökosystem ist WordPress besonders anfällig für Angriffe dieser Art: viele externer Entwickler, unterschiedliche Sicherheitsstandards, automatisierte Update-Prozesse und Plugins mit weitreichenden Systemrechten.
