Dateimanager-Plugins in WordPress: Warum sie ein Einfallstor für Hacker sind

Kurz gesagt: Dateimanager-Plugins geben im WordPress-Backend vollen Zugriff auf alle Dateien der Website: hochladen, ändern, löschen, auch PHP-Code. Hat ein solches Plugin eine Sicherheitslücke oder fällt ein Admin-Zugang in falsche Hände, können Angreifer damit alles. Bei mehreren gehackten Seiten, die ich bereinigt habe, war ein Dateimanager-Plugin der Weg hinein. Meine Empfehlung: löschen, nicht nur deaktivieren, und Dateien per SFTP verwalten.

Die Idee ist verständlich: Wer keinen FTP-Zugang hat oder kein FTP-Programm installieren möchte, kann mit einem Dateimanager-Plugin direkt im Browser Dateien bearbeiten. Solche Plugins haben teils Hunderttausende Installationen. Genau das macht sie für Angreifer interessant: Eine einzige Lücke öffnet sehr viele Websites auf einmal.

Das bekannteste Beispiel

Im September 2020 wurde im Plugin „WP File Manager“ eine Lücke bekannt, über die Angreifer in den Versionen 6.0 bis 6.8 ohne jede Anmeldung Dateien hochladen und ausführen konnten. Sie wurde innerhalb weniger Tage massenhaft ausgenutzt, die Angriffe liefen automatisch gegen alle Seiten mit dem Plugin. Der Hersteller lieferte schnell ein Update, doch Seiten, die nicht sofort aktualisiert wurden, waren zu diesem Zeitpunkt oft schon kompromittiert.

Auch andere Dateimanager-Plugins hatten in den vergangenen Jahren Sicherheitslücken. Das Grundproblem bleibt: Ein Plugin, dessen Zweck uneingeschränkter Dateizugriff ist, ist bei jedem Fehler ein Volltreffer für Angreifer.

Wie ein Angriff über den Dateimanager aussieht

1. Ein automatisiertes Skript findet Ihre Seite mit dem verwundbaren Plugin.
2. Über die Lücke wird eine kleine PHP-Datei hochgeladen, eine sogenannte Webshell.
3. Darüber werden weitere Hintertüren verteilt, oft in wp-content/uploads, in mu-plugins oder in Systemdateien.
4. Wochen später beginnt das eigentliche Geschäft: Umleitungen auf Spam, Spam-Seiten bei Google oder Versand von Spam-Mails.

Das Plugin zu entfernen, nachdem der Angriff passiert ist, reicht deshalb nicht. Die Hintertüren bleiben.

Prüfen, ob Ihre Seite betroffen ist

• Ist oder war ein Dateimanager-Plugin installiert? Schauen Sie in wp-content/plugins nach, auch nach deaktivierten oder umbenannten Ordnern.
• Gibt es PHP-Dateien in wp-content/uploads? Dort gehören nur Bilder und Dokumente hin.
• Liegen in wp-content/mu-plugins Dateien, die Sie nicht kennen?
• Gibt es unbekannte Administratoren unter „Benutzer“?
• Zeigt die Google Search Console Sicherheitsprobleme?

Mehr Anzeichen beschreibe ich in WordPress gehackt? So erkennen Sie es.

Was Sie stattdessen tun sollten

• Dateimanager-Plugin löschen. Deaktivierte Plugins liegen weiter auf dem Server, und manche Lücken lassen sich auch dann ausnutzen.
• SFTP nutzen. Die meisten Hoster bieten verschlüsselten Dateizugriff mit eigenem Passwort. Programme wie FileZilla oder WinSCP sind kostenlos.
• Dateimanager des Hosters verwenden. Viele Kundenmenüs haben einen eingebauten Dateimanager, der nicht über WordPress läuft.
• Datei-Editor in WordPress abschalten. Mit define( 'DISALLOW_FILE_EDIT', true ); in der wp-config.php lassen sich Theme- und Plugin-Dateien nicht mehr im Backend bearbeiten.
• Wenige Administratoren, starke Passwörter, Zwei-Faktor-Anmeldung. Ein gestohlener Admin-Zugang plus Dateimanager ist genauso gefährlich wie eine Lücke.

Professionelle Hilfe

War auf Ihrer Seite ein Dateimanager-Plugin aktiv und haben Sie den Verdacht, dass etwas nicht stimmt, prüfe ich die Seite auf Hintertüren und bereinige sie vollständig. Mehr unter WordPress gehackt, ab 490 € netto. Damit veraltete Plugins gar nicht erst zum Risiko werden, gibt es das WordPress-Update.