Anhaltend intensive Angriffe auf nicht aktualisierte WordPress-Installationen

Die Meldungen über gehackte WordPress-Installationen reißen nicht ab. Offensichtlich gibt es immer noch viele Webseitenbetreiber, die die Versonen 4.7.0 und 4.7.1 einsetzen. Diese haben mehrere Sicherheitslücken, die mit 4.7.2 geschlossen worden sind. Das Fatale ist, dass WordPress inzwischen so stark verbreitet ist, dass viele Hacker vollkommen automatisch agierende Skripte erstellt haben, die verwundbare Installationen finden und diese gleich übernehmen.  Infizierte WordPress-Installationen können den Server so zum Zombie für wirklich bösartige Aktivitäten machen.
„Anhaltend intensive Angriffe auf nicht aktualisierte WordPress-Installationen“ weiterlesen

Google warnt vor nicht aktuellen WordPress-Versionen

Google warnt per Mail vor nicht aktuellen WordPressversionen
Kopfgrafik einer Warnmail, die Google versendet, wenn eine Website mit einer alten und unsicheren WordPress-Version verwendet wird.

WordPress hat eine immense Verbreitung. Mehr als 20 Prozent aller Websites sollen damit erstellt sein. Auch Google hat WordPress auf dem Radar und warnt Webseitenbetreiber, wenn eine nicht aktuelle Version mit Sicherheitslücken verwendet wird. „Google warnt vor nicht aktuellen WordPress-Versionen“ weiterlesen

Update WordPress 4.7.2 schließt drei und nicht nur zwei Lücken

Vor einigen Tagen erschien ein Sicherheitsrelease von WordPress mit der Versionsnummer 4.7.2. Dies ist nun auch die Version, die auf dem goneo-Webspace installiert wird, wenn man als Kunde clickStart verwendet. Mit clickStart lassen sich viele beliebte Content Management Systeme und andere Webanwendungen einfach und schnell aufsetzen und in Betrieb nehmen (mehr zu clickStart hier). Die Verwendung der jeweils aktuellen WordPress-Version ist sehr wichtig.
„Update WordPress 4.7.2 schließt drei und nicht nur zwei Lücken“ weiterlesen

BlogVault User: Update einspielen und neues Passwort generieren

BlogVault (https://blogvault.net/) ist ein kostenpflichtiger Backup-Service für WordPress, mit dem sich Sicherheitskopien regelmäßig und automatisiert erstellen lassen. Jetzt ist ein Datenklau bei der Herstellerfirma bekannt geworden (Heise online berichtet über den Fall). Das Unternehmen hat das bestätigt und gibt weitere Tipps und Hinweise (engl.). Demnach seien alle Backups sicher und man habe das Plugin auf einen neuen, sicheren Stand gebracht. BlogVault-Kunden werden aufgerufen, die neuste Pluginversion (1.45) jetzt einzuspielen.
Wie Akshat Choudhary, der Gründer von BlogVault  im Firmenblog schreibt, seien alle Kundenpasswörter zurückgesetzt worden, das heißt, nicht mehr gültig, so dass ein neues Passwort generiert werden muss. Die Passwörter seien verschlüsselt abgespeichert gewesen, nicht in Klarschrift. Bezahldaten oder Logindaten seien nicht gespeichert gewesen, so dass diese auch nicht gestohlen werden konnten.

Neue Versionen von WordPress und Joomla

Kürzlich sind neue Ausgaben von WordPress und Joomla erschienen, die nun auch im clickStart-Feature von goneo zur Verfügung stehen. clickStart bietet die Möglichkeit, beliebte Webanwendungen mit nur wenigen Klicks auf dem Webspace von goneo installieren zu können. Neuinstallationen verwenden bereits die jeweilige aktuelle Version, bestehende Installationen sollten umgehend überprüft und gegebenenfalls so schnell es geht manuell aktualisiert werden.
„Neue Versionen von WordPress und Joomla“ weiterlesen

Tipps für einen erfolgreichen Onlineshop

Gastbeitrag von Andreas Steiner, Mitarbeiter bei Template Monster
Gastbeitrag von Andreas Steiner, Mitarbeiter bei TemplateMonster

Die Mehrheit aller Online-Geschäfte macht kaum oder ganz wenig Umsatz. Dabei ist E-Commerce heute voll im Trend: Jeder zweite deutsche Internet-User kauft im Vergleich zu Ladengeschäften häufiger online ein  – eine klare Tendenz ist zu erkennen.
Obwohl es viel Gemeinsames gibt, unterscheidet sich ein Onlineshop von einem stationären Ladengeschäft. Daher kommt der erste und allerwichtigste Tipp: Verzichten Sie nicht auf die Hilfe von Profis. Sie haben den Erstellungsprozess im Griff und bewahren Sie vor Fehlern.
Eine andere Option wäre, Ihr einzigartiges Business-Projekt mit Hilfe von vorgefertigten professionellen eCommerce-Templates ins Leben zu rufen. Da brauchen Sie keine technischen Vorkenntnisse und keine zusätzliche Nachhilfe. Nur einige Minuten und schon steht Ihr Online-Shop bereit!
„Tipps für einen erfolgreichen Onlineshop“ weiterlesen

Sicherheitslücke in PHPMailer entdeckt – beliebte Webapplikationen betroffen

Dawid Golunski von der Gruppe „legalhackers.com“ weist auf eine schwere Sicherheitslücke in PHPMailer hin. Dies ist während der Weihnachtsfeiertage offenbar unbeabsichtigt bekannt geworden. PHPMailer ist eine Bibliothek, die in vielen anderen Open-Source-Anwendungen Verwendung findet und sozusagen mit der Installation diverser Anwendungen mitgeliefert wird.
Durch einen Fehler sei es möglich, externen Code auszuführen, heißt es übereinstimmend in mehreren Presseberichten. Daher sollten alle, die PHPMailer einsetzen, die neuste Version einspielen. Die neuster Version trägt die Nummer 5.2.19. Allerdings soll auch 5.2.18 nicht betroffen sein. Diese ist von dem Sicherheitsproblem nach aktueller gängiger Expertenmeinung nicht betroffen.
In Joomla, Drupal und WordPress wird PHPMailer verwendet, zusätzlich in einer Reihe anderer, weniger populärer Anwendungen. Bei WordPress wurden die entsprechenden Dateien umbenannt, so dass man die Integration mit einer einfachen Dateisuche nicht entdeckt.
Die genannten Applikationen verwenden die Bibliothek, um selbst Mails zu versenden. Das ist notwendig, wenn vergessene Passwörter neu vergeben werden müssen oder Formulareingaben per Mail an den Websitebetreiber versendet werden. Anwendungen wie WordPress, Joomla und Drupal werden voraussichtlich bald in neuer Version vorliegen und das Problem mit PHPMailer beheben.
Sicherheitsforscher vermuten, dass ältere PHPMailer Versionen die Absenderadresse nicht überprüfen. So wird die Zeichenkette ungeprüft an das Modul Sendmail übergeben. Möglicherweise handelt es sich also um eine Shell-Injection-Problematik. Für die nächsten Tage ist ein sogenannter Proof of concept angekündigt, der weitere Details enthalten wird.