LONDON (IT BOLTWISE) – Eine offen gelegte Angreifer-Infrastruktur zeigt die Reichweite der WP-SHELLSTORM-Kampagne: Tausende WordPress-Installationen wurden automatisiert über Plugin-Schwachstellen kompromittiert. Betroffen sind laut Auswertung Zehntausende Exploit-Versuche mit einem Schwerpunkt auf Breeze und Joomla JCE Editor. Die Täter setzten persistenten Webshell-Zugriff und Backdoors ein, darunter Varianten des BestShell-Ökosystems. Für Organisationen ist der nächste Schritt klar: Patches einspielen, verdächtige PHP-Dateien und Prozesse prüfen, sowie Monitoring und WAF-Regeln schärfen.
Die WP-SHELLSTORM-Kampagne ist nicht nur ein weiterer Einzelfall kompromittierter Websites, sondern ein Beispiel dafür, wie stark automatisierte Ausnutzung von Plugin-Schwachstellen skaliert. In einem neu offengelegten Hacker-Setup wurden Logdaten und Target-Listen sichtbar, die auf ein Mass-Exploitation-Szenario mit tausenden Opfern hindeuten. Besonders relevant für Unternehmen: Die Betreiber kombinieren Reconnaissance über Such- und Asset-Erkennung (u. a. FOFA) mit sofortiger Ausnutzung bekannter CVEs und installieren danach persistenten Remote-Zugriff in Form obfuszierter PHP-Webshells. Damit wird aus einem Patch-Problem schnell ein Betriebs- und Incident-Response-Problem.
Technisch betrachtet zeigt die Kette eine klare Pipeline aus Erkennung, Ausnutzung und Persistenz. Erstens identifizieren die Angreifer WordPress- und Joomla-Installationen, indem sie über FOFA erreichbare Systeme auf verwundbare Komponenten abfragen. Danach werden automatisierte Exploit-Skripte gegen mindestens 27 bekannte Plugin-Schwachstellen ausgeführt, darunter Breeze (CVE-2026-3844), Joomla JCE Editor (CVE-2026-48907) sowie mehrere Add-ons wie Simple File List (CVE-2020-36847) und WP File Manager (CVE-2020-25213). Nach erfolgreicher Kompromittierung landen Webshells im Dateisystem, oft in vielen Varianten und mit Dateinamen wie down.php oder.wp-log.php, um Erkennung zu erschweren.
Für die Persistenz setzen die Angreifer außerdem auf Backdoors und Prozessmaskierung. Laut den ausgewerteten Artefakten wird ein Dropper namens SNOWLIGHT eingesetzt, um eine VShell-Backdoor zu installieren. Bemerkenswert ist die Tarnstrategie: Die Backdoor tarnt sich als legitimer Linux-Kernel-Worker-Prozess, angegeben als [kworker/0:2]. In der Praxis ist genau diese Diskrepanz entscheidend, weil ein normaler kworker-Prozess typischerweise Pfade und Kommandozeilenattribute konsistent mit dem Systemverhalten aufweist. Fehlen diese Indikatoren oder treten Anomalien in der Prozesssicht auf, wird die Wahrscheinlichkeit für eine aktiv laufende Backdoor deutlich wahrscheinlicher.
Der Markt- und Wettbewerbsaspekt macht die Meldung zusätzlich brisant. Sicherheitsplattformen wie Wordfence und SOCRadar haben bereits wiederholt Kampagnenverläufe dieser Art beobachtet und bei WP-Plugins ähnliche Exploit-Spitzen gemeldet. In den vorliegenden Daten wird beschrieben, dass die Infrastruktur der Angreifer 22 Tage lang exponiert blieb und währenddessen mindestens 25.195 erfolgreiche Kompromittierungen sowie mehr als 5.700 aktive Webshells festgestellt wurden. Der dominante Angriffsweg war dabei Breeze (CVE-2026-3844) mit mehr als 17.000 backdoored Sites. Das ist weniger ein Zufall als ein Indikator dafür, dass Patch-Lücken und heterogene Update-Disziplin bei bestimmten Plugin-Ökosystemen besonders ausgenutzt werden.
Auch die „Victimology“ lässt sich aus dem Material ableiten: Mit über 1,4 Millionen Domains als Zielmenge wurde sehr opportunistisch gearbeitet. Die Opfer verteilen sich über Nordamerika, Europa, Asien und den Nahen Osten, ohne eine einzelne vertikale Nische als Hauptfokus. Dennoch verdichten sich die Treffer in Sektoren, in denen WordPress besonders häufig eingesetzt wird, etwa bei KMU, E-Commerce und digitalen Marketingagenturen. Monetarisiert wird vorrangig über Access-Brokerage: Webshell-Zugriffe werden offenbar an andere Kriminelle „weitergegeben“, etwa für weitere Payloads, Phishing-Aktivitäten oder Malware-Distribution. Das unterscheidet sich von klassischer, zielgerichteter Spionage, die hier zumindest in den sichtbaren Artefakten nicht im Vordergrund steht.
Historisch passt das Muster in eine bekannte Entwicklung: Seit Jahren existieren Webshell-Kampagnen, die zunächst Masseninfektionen über bekannte CVEs treiben und anschließend durch Obfuscation, Dateinamen-Varianten und Prozessmaskierung persistieren. Das BestShell-Umfeld gilt in diesem Kontext als wiederverwendbares Baukastensystem für Webshell-Funktionalität und Command Execution. Der aktuelle Fall zeigt, wie gut diese Werkzeuge in realen Hosting-Umgebungen „funktionieren“, weil sie typische Webserver-Workflows ausnutzen und sich in gängige Dateistrukturen einfügen. Für Verteidiger ist das eine Erinnerung: Nicht nur die ursprüngliche Schwachstelle zählt, sondern die komplette Post-Exploitation-Phase einschließlich lateral movement und Credential Harvesting.
Für die Abwehr sollten Organisationen daher nicht nur „update now“ sagen, sondern gezielt prüfen und nach Beweisen suchen. Als Sofortmaßnahmen wird empfohlen, WordPress- und Joomla-Installationen inklusive Plugins und Themes auf die neuesten Versionen zu heben; besonders relevant sind Breeze, Joomla JCE Editor, ThemeREX Addons, Simple File List, Custom CSS JS PHP, BerqWP, Ninja Forms, WavePlayer, WPBookit und WP File Manager sowie bei Java-Setups auch die Nacos-Plattform. Für Breeze wird dabei konkret auf die Notwendigkeit hingewiesen, das Feature „Host Files Locally – Gravatars“ zu deaktivieren oder auf eine gepatchte Version zu bringen; bei Joomla JCE Editor wird eine Mindestversion zur Bereinigung genannt. Danach folgt ein forensischer Suchlauf nach verdächtigen PHP-Dateien und das Prüfen laufender Prozesse auf Maskierung wie kworker/ X: Y ohne plausiblen Executable-Path.
Ergänzend sollten Netzschutz und Monitoring technisch nachgezogen werden. In den Berichten werden zudem blockierbare Indikatoren genannt, darunter bestimmte IP-Adressen und eine Domain-Variante, die mit C2- oder Dropper-Aktivität in Verbindung stehen. Gleichzeitig sollten Web Application Firewalls (WAFs) mit aktuellen Regeln gegen bekannte Plugin-Schwachstellen aktiviert werden, damit Exploit-Versuche nicht erst auf Anwendungsebene „durchrutschen“. Für die operative Seite heißt das: Logs auf ungewöhnliche Authentifizierungsversuche, Uploads und Command-Ausführung überwachen, Alerting feinjustieren und Admins sowie Entwickler in wiederkehrenden Patch-Workflows schulen. Regulatorisch spielt zudem Datenschutz eine Rolle: Schon durch Credential Harvesting und das Erreichen von Konfigurationsdateien kann personenbezogene oder geschäftskritische Information betroffen sein, wodurch Dokumentations- und Meldepflichten nach internen Richtlinien schneller greifen.
Die Zukunftsimplikation ist eindeutig: Solange Plugin-Ökosysteme heterogen aktualisiert werden, bleiben Massenkampagnen wirtschaftlich attraktiv. In den nächsten Monaten ist deshalb mit weiteren Wellen zu rechnen, entweder mit neuen Plugin-CVEs oder mit ähnlichen Webshell- und Backdoor-Varianten, die sich an bereits bestehende Infrastruktur anlehnen. Für Security-Teams bedeutet das einen Wechsel vom reinen Vulnerability-Management hin zu integrierter Ausnutzungs- und Post-Compromise-Erkennung: Kombinationen aus IOC-Blocking, Host- und Prozess-Checks sowie verhaltensbasiertem Monitoring sind in solchen Szenarien stärker als statische Regeln allein. Wer jetzt patcht und gleichzeitig aktiv nach Webshell-Spuren sucht, reduziert die Angriffsfläche nicht nur kurzfristig, sondern senkt auch das Risiko, dass Access-Brokerage später aus „einem Incident“ eine fortlaufende Pipeline macht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "WP-SHELLSTORM kompromittiert tausende WordPress-Websites via Plugin-Webshells" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "WP-SHELLSTORM kompromittiert tausende WordPress-Websites via Plugin-Webshells" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »WP-SHELLSTORM kompromittiert tausende WordPress-Websites via Plugin-Webshells« bei Google Deutschland suchen, bei Bing oder Google News!