OptinMonster gekapert: CDN-Angriff bedroht 1,2 Millionen WordPress-Seiten

Ein Supply-Chain-Angriff hat die populären WordPress-Plugins OptinMonster, TrustPulse und PushEngage des Anbieters Awesome Motive getroffen. Betroffen sind rund 1,2 Millionen Webseiten. Entdeckt hat den Angriff die E-Commerce-Sicherheitsfirma Sansec.

Der Fall ist mehr als ein gewöhnlicher Plugin-Bug. WordPress ist auch die Plattform, auf der ClawNews läuft. Bemerkenswert ist an diesem Angriff vor allem, dass er nicht auf eine einzelne schlechte Erweiterung zielt, sondern auf eine Schwäche im Zusammenspiel von Plugin-Ökosystem, Admin-Rechten und Vertrauen. Der Schadcode wurde direkt in die JavaScript-Dateien eingeschleust, die Awesome Motive über sein eigenes CDN ausliefert. Auf jeder Website, die diese Skripte nutzte, wurde die manipulierte Datei automatisch von der Quelle nachgeladen. Sansec zieht die Parallele zum Polyfill-Angriff aus dem Jahr 2024. Wer eine einzige vorgelagerte Datei manipuliert, erreicht unzählige nachgelagerte Seiten, ohne dafür einen Finger krumm machen zu müssen.

Wie der Angriff ablief

Awesome Motive betreibt eines der größten WordPress-Plugin-Portfolios der Welt. Laut Sansec ist allein OptinMonster auf über einer Million aktiver Installationen im Einsatz, TrustPulse und PushEngage kommen hinzu. Der Einstiegspunkt lag aber nicht in diesen Produkten.

Nach Angaben von Awesome Motive nutzten die Angreifer eine bekannte Schwachstelle im WordPress-Plugin UpdraftPlus aus. Damit erreichten sie den Server, auf dem die Marketing-Website des Unternehmens lief. Auf diesem Server lag ein API-Schlüssel für das CDN. Die Angreifer stahlen besagten Schlüssel und manipulierten damit die JavaScript-Dateien, die über das CDN ausgeliefert werden. Der Marketing-Server war nicht Teil der Produktivumgebung, speicherte aber die entscheidenden Zugangsdaten.

Der zeitliche Ablauf war eng getaktet. Der erste verifizierte Schadcode tauchte am 12. Juni 2026 um 22:17 UTC in den Dateien von OptinMonster und TrustPulse auf. Um 22:42 UTC waren diese beiden Pfade bereits wieder sauber. Das manipulierte PushEngage-SDK wurde laut Patchstack und Sansec jedoch von einzelnen CDN-Knoten bis zum 13. und 14. Juni 2026 weiter ausgeliefert, während die Caches geleert wurden. Die Kampagne war zum Zeitpunkt der Sansec-Analyse noch aktiv.

Anzeige

Warum dieser Angriff anders funktioniert

Der entscheidende Punkt ist die Mechanik. Es handelt sich nicht um einen klassischen Plugin-Bug, den man mit einem Update schließt. Der Schadcode lief clientseitig im Browser jedes eingeloggten Administrators, der eine betroffene Seite aufrief. Dabei nutzte der bösartige Code die gültige Sitzung des Admins und einen gültigen WordPress-Nonce, also einen Sicherheits-Token, der eigentlich legitime Aktionen absichern soll.

Genau das macht den Angriff so schwer zu stoppen. Patchstack beschreibt das Kern des Problems deutlich. Die schädlichen Anfragen liefen mit echten Zugangsdaten und gültigem Nonce. Auf Netzwerkebene sah deshalb jede bösartige Anfrage fast genauso aus wie ein echter Administrator, der einen Nutzer anlegt. Das Vertrauen in Plugins wird damit zu einem Sicherheitsproblem im laufenden Betrieb, nicht mehr nur bei der Installation.

claw://SECURITY

Das Erweiterungs-Problem: Warum Addons zur größten ungeprüften Angriffsfläche werdenMicrosoft hat 119 Erweiterungen aus dem Edge-Store entfernt, die Schadcode in Bildern und Schriftdateien versteckten. Dies ist kein isolierter Vorfall, sondern ein Hinweis auf ein…6. Juli 2026

Der eingeschleuste Code war zudem darauf ausgelegt, unentdeckt zu bleiben. Laut Sansec prüfte dieser die Umgebung, bevor er aktiv wurde. Lief die Seite in einem automatisierten Browser oder in einem Fenster ohne Größenangaben, brach die Ausführung sofort ab. Erst wenn ein eingeloggter WordPress-Administrator erkannt wurde, setzte der Angriff ein. Eine Sperre von 24 Stunden sorgte dafür, dass derselbe Admin nicht mehrfach in kurzer Zeit verwendet wurde.

War ein Administrator im genannten Zeitraum eingeloggt, legte der Code im Hintergrund ein verstecktes Admin-Konto an und installierte ein Backdoor-Plugin, das seine Spuren verschleierte. Besagtes Plugin versteckt sich aktiv vor der Nutzerliste, der Plugin-Übersicht und den Update-Prüfungen. Sansec beobachtete, dass die Angreifer die Tarnung des Plugins wechselten, die Logik dabei aber unverändert ließen. Mal trat die Software als content-delivery-helper auf, mal als database-optimizer.

Die erbeuteten Zugangsdaten gingen an die Domain tidio[.]cc. Sie ist laut Sansec eine Nachahmung des legitimen Kundenkommunikations-Dienstes Tidio unter tidio.com. Tidio selbst ist an dem Angriff nicht beteiligt, sondern Geschädigter des Markenmissbrauchs.