An unsere Webmaster

Dieser Artikel richtet sich an alle Mitglieder von ClubComputer und an alle Kunden von cc | communications, die bei uns ein WordPress-Web betreiben. Aber natürlich auch an alle, die es erwägen, denn man sieht an diesem Artikel, dass ein WordPress-Web eine Installation mit einem gewissen Wartungsbedarf ist.

Wir ersuchen alle unsere Webmaster auf die Aktualisierung ihres Web zu achten.

Was alle machen müssten:

• Auf mindestens PHP 7.4 upgraden (https://panel.ccc.at -> Websites -> Deine Website -> Extensions -> PHP-Version auswählen -> Speichern
• Alle Plugins und Themes updaten
• Wordfence installieren und richtig konfigurieren (WordPress absichern)
• Antispam Plugin installieren (AntiSpam-Plugins)
• XML-RPC disablen (Disable-Plugins)

Wenn jemand unsicher bezüglich dieser Arbeitsschritte ist, bitte ans Clubbüro schreiben (buero{AT}clubcomputer.at)

Wenn diese Schritte erledigt sind, schaut man monatlich aufs Dashboard. Solange dort eine Zahl in einem roten Kreis zu finden ist, muss man etwas updaten.

Früher, in der Zeit der statischen Webseiten, war die Welt noch einigermaßen in Ordnung. Heute werden Webs überwiegend mit WordPress gestaltet. Und WordPress ist ein im Internet gespeichertes Programm und verhält sich so wie ein PC oder ein Handy. Man muss das Programm immer am letzten Stand halten und alle Aktualisierungen durchführen. Verabsäumt man das, wird die einmal mit viel Aufwand erstellte Internetpräsenz zum Angriffsziel, weil es immer wieder Schwachstellen gibt, die sich als Angriffsziele eignen und die durch die Aktualisierungen normalerweise beseitigt werden.

Wenn ein WordPress-Web einmal fertiggestellt ist, hat man den Eindruck, als wäre alles in Ordnung, und das ist es auch – aus der Sicht eines Besuchers. Doch im Laufe der Zeit entdecken potenzielle Angreifer Schwachstellen im Code der gerade installierten WordPress-Version und sind in der Lage bestehende Dateien zu modifizieren und können auch unerwünschte Dateien ins System übertragen.

Dieses Problem kennen wir von Windows, einer Art Monokultur am Desktop. Und jetzt finden wir es bei WordPress,einer Monokultur im Internet, wieder. Und weil es viele identische Installationen gibt, weil der Angreifer auch bei sehr viel Aufwand für den Angriff als Lohn mit vielen Opfern rechnen kann. Wenn also Windows oder WordPress zum Update auffordert, sollte man das ernst nehmen. Die mit einem Update einhergehenden oberflächlichen Verbesserungen stehen gar nicht so sehr im Vordergrund, vielmehr werden immer auch Verbesserungen, die Sicherheit betreffend, eingebaut.

Das ganze Problem wurde virulent, weil die Server-Performance stark nachgelassen hat und davon sind dann tatsächlich alle Webs betroffen, nicht nur das einzelne betroffene. Der Schädling überträgt viele GB Daten in alle Welt und schränkt die Performance aller anderen Webs erheblich ein. Und die Suche nach der Ursache ist schwierig. Wenn jeder Webmaster die obigen Schritte ausführt, wäre uns sehr geholfen.