In de Advanced Responsive Video Embedder plug-in voor WordPress is een backdoor ontdekt waardoor aanvallers volledige admintoegang tot websites krijgen. Meer dan twintigduizend WordPress-sites maken van de plug-in gebruik. Vanwege het incident heeft WordPress.org besloten om de plug-in niet meer aan te bieden. Via de plug-in is het mogelijk om video’s van allerlei platforms, zoals YouTube en Vimeo, op WordPress-sites te embedden.

In versie 10.8.7 van de plug-in is een backdoor toegevoegd waardoor een aanvaller door middel van één HTTP request als admin toegang tot de website krijgt. Hoe de code kon worden toegevoegd is niet bekend. Cybersecuritybedrijf Wordfence spreekt van een bewuste, professioneel gemaakte supply-chain backdoor. WordPress-sites die van de betreffende versie gebruikmaken moeten er in principe vanuit gaan dat ze zijn gehackt, aldus Wordfence.

De plug-in was te downloaden via WordPress.org, maar de website heeft vanwege het incident besloten de video embedder niet meer aan te bieden. Daarnaast stelt WordPress.org dat de malafide plug-in nog niet was verspreid. Toch worden beheerders opgeroepen om te controleren dat ze geen kwetsbare versie draaien en daarna de plug-in in zijn geheel te verwijderen.

Bron: Security.nl