WordPress-Plugin als anfällig gemeldet, obwohl es aktuell ist: Wie man das entscheidet

Als anfällig gemeldetes WordPress-Plugin: Woher kommt die Warnung

Dieser Fall taucht jede Woche in den Foren von WordPress.org auf: Ein WordPress-Plugin wird als anfällig gemeldet, obwohl die neueste Version installiert ist. Die Nachricht nennt eine CVE, manchmal gleich drei Schwachstellen auf einmal, und das Update ändert nichts. Bevor man die Warnung ignoriert oder das Plugin in Panik deinstalliert, muss man verstehen, wie sie zustande kommt.

Eine Schwachstellenprüfung liest nicht den Code Ihres Plugins. Sie vergleicht zwei Dinge: den Namen und die Version des installierten Elements sowie eine öffentliche Liste bekannter Schwachstellen, in der jede Schwachstelle einem Plugin und einem betroffenen Versionsbereich zugeordnet ist. Wenn sich beides überschneidet, wird die Warnung angezeigt.

Das Prinzip ist einfach und schnell, aber jede Seite des Vergleichs kann sich irren. Die häufigsten Ursachen für eine Warnung bei einer aktuellen Version sind folgende.

• Die Liste ist falsch oder veraltet: Die Schwachstelle wurde in der neuesten Version behoben, aber der Eintrag gibt immer noch „alle Versionen“ oder einen zu großen Bereich an. Dies ist die häufigste Ursache für Fehlalarme.
• Zwei Plugins haben denselben Bezeichner: Ein Plugin oder Theme, das außerhalb des WordPress.org-Verzeichnisses verkauft wird, teilt sich möglicherweise seinen Ordnernamen mit einem anderen und erbt dessen Schwachstellen.
• Die gelesene Version ist nicht die richtige: Einige Premium-Produkte geben in ihrem Header eine Nummer an, die nicht mit der ihres eigenen Update-Bildschirms übereinstimmt.
• Das Ergebnis stammt aus der Zeit vor dem Update: Das Tool hat seine Überprüfung noch nicht erneut durchgeführt.
• Die Warnung zielt auf das falsche Element ab: Die Schwachstelle betrifft eine eingebettete Bibliothek oder WordPress selbst nach einem Core-Update und ist einem Plugin zugeordnet.

Fehlalarm oder Schwachstelle ohne Patch: Der Unterschied, auf den es ankommt

Nicht jede Warnung bei einer aktuellen Version ist ein Fehler. Eine Schwachstelle kann öffentlich gemacht werden, bevor der Autor einen Patch veröffentlicht hat. In diesem Fall ist die neueste Version tatsächlich anfällig und die Warnung berechtigt.

Um dies zu entscheiden, öffnen Sie den Schwachstelleneintrag in der Datenbank, die ihn veröffentlicht, anhand seiner CVE-Referenz oder des von der Warnung bereitgestellten Links. Lesen Sie drei Informationen.

Wenn der Eintrag eine gepatchte Version angibt, die gleich oder niedriger als Ihre ist, handelt es sich um einen Fehlalarm. Wenn er keinen Patch angibt, ist die Schwachstelle offen: Sie müssen handeln, während Sie auf den Autor warten. Wenn der Eintrag unklar bleibt, klären das Changelog des Plugins und sein Support-Forum die Frage oft in einem Satz.

• Die betroffenen Versionen: „bis einschließlich 7.5.1“ und „vor 7.5.1“ besagen nicht dasselbe.
• Die gepatchte Version oder der Hinweis, dass noch kein Patch existiert.
• Das Veröffentlichungsdatum der Schwachstelle im Vergleich zum Datum Ihrer Version.

Eine Warnung bei einer aktuellen Version bedeutet „überprüfen“, weder „Panik“ noch „ignorieren“.

Was das Sicherheitsmodul von nexya überprüft

nexya fasst die gängigen Aufgaben einer WordPress-Website in einem einzigen Administrationsbereich zusammen. Jede Aufgabe ist ein Modul, das über den Hub ein- oder ausgeschaltet wird. Ein ausgeschaltetes Modul zeichnet nichts auf: Keiner seiner Hooks läuft auf der Website.

Das Sicherheitsmodul überprüft installierte Plugins anhand der Liste bekannter Schwachstellen. Es setzt auch Sicherheitsheader, eine Content-Security-Policy und ein Limit für fehlgeschlagene Anmeldeversuche.

Diese Prüfung basiert wie die anderen auf einer Liste bekannter Schwachstellen. Daher kann auch sie einen falsch gepflegten Eintrag weiterleiten. Die Methode aus dem vorherigen Abschnitt gilt unverändert: Der Schwachstelleneintrag und die installierte Versionsnummer sind maßgebend.

Alles Folgende ist kostenlos, für so viele Websites wie Sie möchten, außer dem, was als Pro markiert ist. Die kostenlose Version enthält keinen Code für Pro-Funktionen; nexya Pro wird nach dem Kauf von Freemius bereitgestellt und übernimmt dieselben Einstellungen.

• Kostenlos: Die Überprüfung installierter Plugins anhand der Liste bekannter Schwachstellen, Sicherheitsheader, Content-Security-Policy, Limit für fehlgeschlagene Anmeldeversuche.
• nexya Pro: Eine tägliche Überprüfung von Schwachstellen und ein Dateifingerabdruck mit Rollback.
• nexya Pro: Eine Zwei-Faktor-Authentifizierung für Rollen Ihrer Wahl.

Nachvollziehen, was sich geändert hat und wann

Eine Warnung, die direkt nach einem Update auftaucht, wirft zwei Fragen auf: Hat sich die Version wirklich geändert und wer hat die Änderung vorgenommen? Beginnen Sie mit der Nummer, die in der Plugin-Liste von WordPress angezeigt wird, und vergleichen Sie diese mit der im Schwachstelleneintrag.

Das Modul Aktivitätsprotokoll speichert, wer was auf der Website geändert hat, mit Vorher und Nachher. Auf einer Website, die von mehreren Personen verwaltet wird, ist dies der kürzeste Weg, um herauszufinden, was berührt wurde, von wem und zu welchem Zeitpunkt, ohne das gesamte Team befragen zu müssen.

Wenn die Nummern mit einer gepatchten Version übereinstimmen und die Warnung weiterhin besteht, lassen Sie das Tool seine Überprüfung wiederholen. Ein altes Ergebnis, das vor dem Update berechnet wurde, erklärt einige der Nachrichten, die absurd erscheinen.

Eine Schwachstellenwarnung Schritt für Schritt überprüfen

1. 1

   Sicherheitsmodul einschalten

   Aktivieren Sie das Sicherheitsmodul im nexya-Hub. Es überprüft installierte Plugins anhand der Liste bekannter Schwachstellen. Wenn es ausgeschaltet ist, zeichnet es nichts auf der Website auf.

   
2. 2

   Ihre Version mit dem Schwachstellenbericht vergleichen

   Notieren Sie die Versionsnummer aus der Plugin-Liste, öffnen Sie den Schwachstellenbericht und lesen Sie die betroffenen sowie die behobene Version nach. Das Aktivitätsprotokoll verrät Ihnen, wer wann was geändert hat.

   
3. 3

   Sicher aktualisieren oder den Fehlalarm melden

   Falls ein Patch existiert, aktualisieren Sie hinter der Wartungsseite des Moduls: Die vorherige Version wird gespeichert und lässt sich mit einem Klick wiederherstellen. Wenn der Bericht fehlerhaft ist, melden Sie ihn der Schwachstellendatenbank und dem Autor.

   

Korrigieren, ohne die Website zu beschädigen

Das Weitere hängt davon ab, was im Eintrag steht. In allen drei Fällen ist das Ziel dasselbe: keine echte Schwachstelle offen lassen und keine funktionierende Website wegen einer unbegründeten Warnung beschädigen.

Ein Plugin-Update bleibt ein Eingriff in eine Live-Website. Das Wartungsmodul speichert die vorherige Version jedes Plugins und jedes Themes kurz vor dem Update und stellt sie mit einem Klick wieder her. Es bietet auch eine Wartungsseite, um die Website während des Eingriffs zu schließen.

In nexya Pro wird ein Update, das die Website beschädigt, automatisch rückgängig gemacht und der Administrator erhält eine E-Mail.

• Schwachstelle mit Patch: Aktualisieren Sie, überprüfen Sie die Website und lassen Sie die Kontrolle dann erneut durchführen.
• Schwachstelle ohne Patch: Deaktivieren Sie das Plugin, wenn Sie darauf verzichten können, oder suchen Sie nach einer Alternative und verfolgen Sie das Forum des Autors.
• Falsch-Positiv: Melden Sie es der Schwachstellendatenbank und dem Autor unter Angabe Ihrer Versionsnummer und der Referenz des Patches, und vermerken Sie es für das Team.

Was nexya nicht tut

Das Sicherheitsmodul behebt keine Liste von Schwachstellen, die von anderen geführt wird, und es kann nicht garantieren, dass ein öffentlicher Eintrag exakt ist. Es warnt; das Lesen des Berichts bleibt Ihre Aufgabe.

nexya verfügt über keinen aufwendigen Anti-Malware-Scan und bereinigt keine gehackte Website. Es überprüft installierte Plugins auf bekannte Schwachstellen und kontrolliert in der Pro-Version den Dateidatei-Fingerabdruck. Multisite-Netzwerke werden nicht unterstützt: In einem Netzwerk bleibt das Plugin deaktiviert und weist darauf hin.