Plugin-Lieferkette
Definition
Plugin-Lieferkettenrisiko heißt: vertrauenswürdiger Plugin-Code oder Updates werden zum Weg für Angreifer.
Auch genannt: supply chain, plugin supply chain, supply-chain attack, Lieferkettenangriff
Zuletzt aktualisiert
Warum es für WordPress wichtig ist
Sie erben die Sicherheit jedes Plugin-Autors, den Sie installieren. Aufgegebene Plugins, gestohlene Herausgeberkonten und Raubkopien („nulled“) tauchen weiter in Vorfallberichten auf. Das Update, das Sie geklickt haben, kann der Lieferweg sein.
So zeigt es sich in der Praxis
- Advisories zur Verteilung eines populären Plugins oder zum Konto des Maintainers
- Nulled- oder „GPL-Club“-Zips, die Webshells neben der Funktion liefern, die Sie wollten
- Plugins, die nach Hause telefonieren oder zur Laufzeit Remote-Code ziehen, ohne klaren Grund
- Ein kritisches CVE in einer Abhängigkeit, von der Sie vergessen hatten, dass sie noch aktiv ist
Was Sie tun sollten
- Installieren Sie weniger Plugins. Entfernen Sie, was Sie nicht nutzen.
- Bevorzugen Sie wordpress.org und bekannte Anbieter. Nie zufällige Null-Dumps.
- Achten Sie direkt nach einem Update auf seltsame neue Dateien.
- Haben Sie einen Patch-Plan, wenn ein kritisches CVE etwas trifft, wovon Sie abhängen.
- Bevorzugen Sie gepflegte Plugins mit klarem Eigentümer vor aufgegebenen Einzelstücken.
Anleitung: Woran Sie erkennen, ob ein WordPress-Plugin sicher ist.
Weiterlesen
Brauchen Sie den ganzen Ablauf?
Diese Seite bleibt absichtlich kurz. Die Anleitung (EN) beschreibt Schritte, Beispiele und was Sie auf einer laufenden WordPress-Website prüfen.
Anleitung öffnen (EN)Verwandte Begriffe
Ideas cercanas en el diccionario
- Schwachstelle Eine Schwachstelle ist eine Schwäche in Software, die Angreifer missbrauchen können, um Vertraulichkeit, Integrität oder Verfügbarkeit zu brechen.
- Malware Malware auf WordPress ist unerwünschter Code, der Daten stiehlt, Spam verschickt, Besucher umleitet oder eine Hintertür offen hält.
- Sicherheitsaudit Ein Sicherheitsaudit ist eine strukturierte Prüfung der Risiken, Fehlkonfigurationen und empfohlenen Fixes einer Website.
- Nulled Plugin Ein Nulled Plugin ist eine unerlaubte, meist veränderte Kopie eines kostenpflichtigen Plugins, oft mit Malware oder Hintertüren.
- CVE Ein CVE ist eine öffentliche Kennung für eine bekannte Cybersicherheits-Schwachstelle in gemeinsamen Datenbanken.
