WordPress-Supply-Chain-Angriff: ShapePlugin-Pro-Plugins mit Backdoor über offizielle Update-Server ausgeliefert

Am 11. Juni 2026 hat das Wordfence Threat Intelligence Team eine Kompromittierung der Build- und Distribution-Pipeline des WordPress-Plugin-Herstellers ShapePlugin öffentlich gemacht. Angreifer hatten Zugriff auf den offiziellen Lizenz-Update-Server und lieferten über das reguläre Update-System mit Schadcode infizierte Pro-Versionen aus. Die Lücke wurde unter CVE-2026-10735 (CVSS 9.8, kritisch) und dem Duplikat CVE-2026-49777 registriert. ShapePlugin hat den Vorfall am 16. Juni 2026 bestätigt und bereitet bereinigte Plugin-Versionen vor.

Betroffene Produkte

Die Backdoor wurde in folgenden ShapePlugin-Pro-Plugins nachgewiesen:

ShapePlugin-Bundle-Pakete (WooCommerce Bundle, All Plugins Bundle, WordPress Bundle) sollten ebenfalls als potenziell betroffen gelten. Updates über wordpress.org für die kostenlosen Plugins waren nach derzeitigem Stand der Untersuchung nicht kompromittiert, die Backdoor zielte selektiv auf Pro-Distributionen über den Easy-Digital-Downloads-Update-Server unter account.shapedplugin.com.

Was der Angreifer eingeschleust hat

Die kompromittierten Pakete enthielten eine zusätzliche Datei src/Includes/LicenseLoader.php und einen modifizierten Hook in src/Includes/TestimonialPRO.php. Sobald ein Administrator eine beliebige Admin-Seite aufruft, lädt dieser Hook die versteckte Loader-Datei nach. Der Loader führt mehrere Schritte aus:

1. Lädt eine Payload vom C2-Server unter 194.76.217.28:2871 nach.
2. Installiert und aktiviert die Payload als unscheinbares Fake-Plugin unter wp-content/plugins/woocommerce-subscription/ (Singular, nicht zu verwechseln mit dem legitimen WooCommerce-Subscriptions-Plugin in der Pluralform).
3. Meldet die infizierte Domain zurück an den C2-Server.
4. Löscht sich selbst und entfernt den Hook aus TestimonialPRO.php, um forensische Spuren zu verwischen.

Dieses selbstlöschende Verhalten sorgt dafür, dass der initiale Infektionsvektor nach der ersten Ausführung verschwindet. Forensische Analysen, die erst später ansetzen, finden den Ausgangspunkt nicht mehr.

Die Payload im Detail

Die nachgeladene Schadsoftware bündelt mehrere Angriffswerkzeuge in einer einzelnen Plugin-Datei. Sie blendet sich über den all_plugins-Filter aus der Plugin-Liste im WordPress-Backend aus, sodass Administratoren die Infektion auf den ersten Blick nicht bemerken.

2FA-Geheimnisse im Ziel

Die Komponente class-wc-subscription-trace-dispatch.php hängt sich in die WordPress-Authentifizierung ein und greift sowohl das wp_authenticate- als auch das wp_login-Event ab. Erfasst werden Benutzername, Passwort im Klartext, IP-Adresse, User-Agent, Session-Cookies sowie Benutzerrollen und Capabilities. Zusätzlich sucht die Schadsoftware gezielt nach TOTP-Seeds gängiger 2FA-Plugins und exfiltriert sie:

// Gezielt angegriffene 2FA-Plugins und ihre Speicherorte:
// - WP 2FA: wp_2fa_totp_key (user meta)
// - Wordfence Login Security: wfls_2fa_secrets (custom table)
// - Really Simple SSL 2FA: rsssl_totp_secret (user meta)
// - Two-Factor plugin: _two_factor_totp_key (user meta)

Gestohlene Zugangsdaten und 2FA-Seeds werden an die Domain generate.2faplugin.org übermittelt, deren Name bewusst an legitimen 2FA-Datenverkehr erinnert. Mit Passwort und TOTP-Seed können Angreifer die Multi-Faktor-Authentifizierung komplett umgehen, selbst wenn das Opfer später das Passwort ändert.

Weitere Zugänge des Angreifers

Die Payload etabliert mehrere persistente Zugriffskanäle parallel:

1. REST-API-Backdoor: install-persistent.php registriert einen Endpunkt unter /wp-json/wc/v3/settings/apply, der bei korrektem Authentifizierungs-Token beliebige Datei-Schreibvorgänge erlaubt.
2. URL-Parameter-Webshell: class-wc-subscription-diagnostics.php akzeptiert Befehle via URL-Parameter mit den Ausführungsarten shell_exec, exec, passthru und eval.
3. Tiny File Manager und Adminer: Direkter Zugriff per Web-UI auf Dateien und Datenbanken.
4. Login-Bypass: Ein hartcodierter MD5-Hash (e268c35a06d85f672e70c9beecb4e5d1) erlaubt die Anmeldung als beliebiger Administrator ohne Passwort.

Indicators of Compromise

Für die Erkennung in eigenen Logs, EDR-Systemen oder Web-Shells-Scannern sind die folgenden Indikatoren relevant:

So bist du betroffen und was jetzt

Wenn du zwischen April und Juni 2026 ein ShapePlugin-Pro-Plugin installiert oder aktualisiert hast, solltest du deine WordPress-Installation als potenziell kompromittiert behandeln. Die folgenden Schritte sind unmittelbar erforderlich:

1. Scannen: Malware-Scanner mit aktuellen Signaturen ausführen.
2. Fake-Plugin prüfen: Auf das Vorhandensein von wp-content/plugins/woocommerce-subscription/ (Singular) und mögliche Varianten wie woocommerce-notification/ prüfen.
3. Datenbankoptionen prüfen: wp_options auf die Werte theme_options_scripts und wc_nf_install_done kontrollieren.
4. Alle Credentials rotieren: WordPress-Administratorpasswörter, Datenbankpasswörter, API-Schlüssel aus wp-config.php, SMTP-Zugangsdaten.
5. 2FA-Geheimnisse neu erzeugen: Für alle Benutzer die TOTP-Seeds widerrufen und neu vergeben. Bereits gestohlene Seeds bleiben sonst nutzbar.
6. Admin-Konten prüfen: Auf unbekannte oder zusätzliche Administrator-Accounts achten.
7. SMTP-Konfiguration prüfen: Mail-Plugins wie WP Mail SMTP, Post SMTP, Easy WP SMTP auf veränderte SMTP-Zugangsdaten kontrollieren.

Warum dieser Vorfall anders ist

Die technische Schwachstelle liegt nicht im Plugin-Code selbst, sondern in der Lieferkette. Betreiber, die Pro-Versionen legal lizenziert und über das offizielle Update-System eingespielt haben, wurden gerade durch ihr regelkonformes Verhalten zum Opfer. Die Build-Pipeline bei ShapePlugin wurde vermutlich zwischen dem 21. Mai 2026 und dem 23. Mai 2026 kompromittiert. Vier Dateien wurden in einem Zeitfenster von zwei Stunden modifiziert, was auf einen automatisierten Build-Schritt und nicht auf manuelles Tampering hindeutet.

Die gezielte Exfiltration von 2FA-Geheimnissen markiert eine neue Eskalationsstufe bei WordPress-zentrierter Schadsoftware. Angreifer beschränken sich nicht mehr darauf, Passwörter zu stehlen, sondern jagen systematisch die zusätzlichen Sicherheitsfaktoren, die Site-Betreiber als Schutzmaßnahme installiert haben.

Passende Anleitungen auf S-EDV

1. Zwei-Faktor-Authentifizierung (2FA/MFA) richtig einführen
2. Linux-Server härten nach CIS-Benchmark: Praxisplan für KMU (Debian/Ubuntu)
3. Miasma-Supply-Chain-Angriff: Red-Hat-npm-Pakete mit Credential-Stealer kompromittiert

Quellen

1. Wordfence: PSA: Supply Chain Compromise Targets ShapePlugin (Primärquelle)
2. NVD: CVE-2026-10735
3. NVD: CVE-2026-49777
4. Patchstack: WordPress Vulnerability Database