Half miljoen websites in gevaar door WordPress-fout

Door een fout in een WordPress plug-in lijken ruim een half miljoen websites nu in gevaar te zijn. Hackers zouden de websites kunnen overnemen, maar er lijkt gelukkig ook een oplossing voor het probleem te zijn.

Ruim een half miljoen websites zijn betrokken in een beveiligingslek door een populaire plug-in voor WordPress, het platform waar veel websites op draaien. Dat meldt de site BleepingComputer. Hackers zouden door het lek de websites op afstand kunnen overnemen. Op 25 januari ontdekte het online beveiligingsbedrijf Patchstack een lek in de plug-in 'Essential Addons for Elementor' van WordPress.

De plug-in vervangt de standaard editor van de website en geeft op die manier meer vrijheid bij het maken en customizen van de website. Toch weegt de vrijheid in het customizen een stuk minder zwaar als iemand anders ineens je website overneemt. Patchstack meldde diezelfde dag nog de fout bij WordPress, waarna moederbedrijf Automattic het lek op 28 januari gedicht heeft. Het lek in de WordPress plug-in is gedicht door via een update het probleem op te lossen. Veel mensen hebben de update alleen nog niet gedownload, waardoor het gevaar voor veel websites nog speelt.

WordPress wordt over heel de wereld gebruikt en het platform vormt dan ook de basis voor tientallen miljoenen websites. Voor de websites die WordPress gebruiken zijn inmiddels tienduizenden plug-ins beschikbaar, die helaas niet allemaal even veilig zijn.

Gelukkig maken lang niet alle websites gebruik van de plug-in 'Essential Addons for Elementor'. Uit statistieken die naar buiten zijn gebracht door WordPress lijkt het te gaan om ruim een miljoen gebruikers. Volgens BleepingComputer zouden ongeveer 380.000 websites de update al hebben geïnstalleerd. Dit betekent dat ongeveer 600.000 websites nog steeds gevaar lopen. Er werd al twee keer eerder een poging gedaan om het gat in de beveiliging te fiksen door beveiligingsonderzoeker Wai Yan Muo Thet. Volgens BleepingComputer was de ontwikkelaar van de plug-in al op de hoogte van de mogelijke kwetsbaarheid van het stukje software. Na twee pogingen om het probleem zelf op te lossen kwam Patchstack na grondig testen tot de conclusie dat de kwetsbaarheid nog steeds een rol speelde. In versie 5.0.5 van de plug-in lijkt het probleem dan eindelijk aangepakt.