Das WordPress-Plug-in Post SMTP kommt auf mehr als 400.000 aktive Installationen. IT-Forscher haben darin eine Sicherheitslücke entdeckt, die nicht angemeldeten Angreifern die Übernahme von Konten und in der Folge der kompletten WordPress-Instanz ermöglichen. Es laufen seit dem Wochenende bereits Angriffe auf die Schwachstelle. Ein aktualisiertes Plug-in steht bereit.
Das meldet das auf WordPress spezialisierte IT-Sicherheitsunternehmen WordFence in einem aktuellen Blog-Beitrag. Die Schwachstelle im Plug-in Post SMTP erlaubt nicht authentifizierten Angreifern, E-Mail-Logs einzusehen, einschließlich Passwort-Reset-E-Mails. Dadurch können sie Passwörter beliebiger Nutzer ändern, einschließlich der von Administratoren. Damit können bösartige Akteure die Konten und in der Folge die komplette WordPress-Website übernehmen (CVE-2025-11833, CVSS 9.8, Risiko "kritisch").
Die Firewall-Systeme von Wordfence haben vom 1. November bis zum Montag dieser Woche bereits mehr als 4500 Angriffe auf die Schwachstelle abgewehrt, erklärt das Unternehmen. IT-Verantwortliche sollten daher sicherstellen, so schnell wie möglich auf eine fehlerkorrigierte Fassung des Plug-ins zu aktualisieren. Seit dem 29. Oktober steht die Version 3.6.1 von Post SMTP bereit, die die sicherheitsrelevanten Fehler in den verwendbaren Fassungen 3.6.0 und älter korrigiert.
Post SMTP ist ein Plug-in, das vom Anbieter bereits im Namen als "komplette SMTP-Lösung mit Logs, Alarmen, Backup, SMTP und mobiler App" beschrieben wird. Es soll helfen, wenn Admins auf ein Problem mit dem E-Mail-Versand durch WordPress stoßen. Das ist insbesondere in einigen Hosting-Umgebungen der Fall, die keinen Mailversand über PHP-E-Mail erlauben. Laut Eintrag im WordPress-Verzeichnis kommt es auf mehr als 400.000 aktive Installationen.
WordPress-Plug-ins leiden öfter unter schwerwiegenden Sicherheitslücken, die die Kompromittierung von Konten oder gar Instanzen erlauben. Ende August hat es etwa das Plug-in Dokan Pro getroffen. Dabei handelt es sich um ein Marktplatzsystem, bei dem sich Nutzerinnen und Nutzer als Verkäufer mit einem eigenen Marktplatz-Shop registrieren können.
(
Sie haben heise+ bereits abonniert? Hier anmelden.
Oder benötigen Sie mehr Informationen zum heise+ Abo
Kommentare