Tientallen WordPress-plug-ins zijn offline na de ontdekking van een achterdeur die kwaadaardige code verspreidde naar websites die deze plug-ins gebruikten. Deze achterdeur werd ontdekt na de overname van de plug-inmaker Essential Plugin.
Austin Ginder, oprichter van Anchor Hosting, rapporteerde het incident in een blogpost waarin hij een supply chain-aanval op Essential Plugin beschrijft. Ginder merkte op dat nadat het bedrijf vorig jaar werd overgenomen, er een achterdeur in de broncode van de plug-ins was geïntroduceerd. Deze achterdeur bleef tot voor kort sluimerend, toen het kwaadaardige code naar de getroffen websites begon te pushen.
Essential Plugin claimt meer dan 400.000 plug-in-installaties en meer dan 15.000 klanten te hebben. Momenteel zijn de getroffen plug-ins aanwezig in meer dan 20.000 actieve WordPress-installaties, waardoor veel websites worden blootgesteld aan potentiële beveiligingsproblemen.
![Hoe privacy- en beveiligingsinstellingen op de iPhone te doen? [iOS 14]](https://nl.techbriefly.com/wp-content/uploads/sites/6/2020/11/1605852641_Hoe-privacy-en-beveiligingsinstellingen-op-de-iPhone-te-doen-iOS.jpg)
Plug-ins verbeteren de functionaliteit van WordPress, maar bieden aanzienlijke toegang tot hun hostinstallaties. Ginder verklaarde dat gebruikers niet worden geïnformeerd over eigendomswijzigingen van plug-ins, waardoor het risico op overnameaanvallen door nieuwe eigenaren toeneemt.
Dit incident markeert de tweede gemelde kaping van een WordPress-plug-in in de afgelopen twee weken. Ginder benadrukte de groeiende bezorgdheid onder beveiligingsonderzoekers over kwaadwillende actoren die software verwerven uitsluitend om de code ervan te wijzigen met het oog op wijdverbreide netwerkcompromissen.
De gecompromitteerde plug-ins zijn verwijderd uit de WordPress-directory en worden nu vermeld als permanent gesloten. Ginder adviseerde WordPress-eigenaren om hun installaties te verifiëren en eventuele kwaadaardige plug-ins te verwijderen. Hij heeft in zijn blogpost een lijst met de getroffen plug-ins gegeven.
