400.000 aktive Installationen – so groß ist die Reichweite des WordPress-Anbieters ShapedPlugin. Am 16. Juni 2026 räumte das Unternehmen öffentlich ein, dass Dritte seinen Update-Mechanismus missbraucht haben, um Malware an zahlende Kunden zu verteilen. Betroffen waren nicht irgendwelche Raubkopien oder veraltete Versionen, sondern offizielle Pro-Releases von Product Slider Pro, Real Testimonials Pro und Smart Post Show Pro. Wer in den vergangenen Wochen ein Update über das eigene WordPress-Backend eingespielt hat, bekam möglicherweise nicht nur neue Features, sondern eine Hintertür mitgeliefert.
Für den DACH-Raum ist das kein abstraktes Sicherheitsproblem. WooCommerce ist hier das dominierende Open-Source-Shop-System unter mittelständischen Händlern und Agenturen. Viele setzen auf Premium-Plugins, um Slider, Testimonials oder Produktdarstellungen aufzuhübschen. Genau diese Erweiterungen waren der Angriffsvektor. Das Understatement in der offiziellen Stellungnahme – „we have already implemented the necessary measures to mitigate the issue“ – verschleiert, dass hier ein klassischer Supply-Chain-Angriff stattgefunden hat, wie er lange als Horrorszenario galt.
Wie konnte der ShapedPlugin-Update-Flow kompromittiert werden?
Wordfence vermutet einen Kompromittierung der Build-Pipeline. Die Dateizeitstempel und Git-Build-Referenzen in den manipulierten Paketen deuten darauf hin, dass der Schadcode bereits beim Erstellen der Releases injiziert wurde. WordPress.org-Versionen blieben sauber. Das ist der entscheidende Hinweis: Die Angreifer hatten Zugriff auf die Infrastruktur, über die ShapedPlugin seine kostenpflichtigen Plugins an Kunden ausliefert – nicht auf den öffentlichen Plugin-Verzeichnis-Server.
Jede WordPress-Installation mit einem lizenzierten ShapedPlugin-Produkt prüft in regelmäßigen Abständen, ob ein Update vorliegt. Dieser Mechanismus ist normalerweise ein Feature. Im vorliegenden Fall wurde er zum Trojanischen Pferd. Administratoren sahen die übliche Benachrichtigung „Eine neue Version ist verfügbar“, klickten auf Aktualisieren und vertrauten dem Anbieter. Genau diese Automatik macht Supply-Chain-Angriffe so brisant: Das Opfer handelt korrekt und infiziert sich dennoch selbst.
Was macht die Malware auf infizierten WooCommerce-Shops?
Der eingeschleuste Code verhält sich wie ein professionelles Einbruchsteam, das zunächst die Tür öffnet, dann die Wohnung ausspäht und schließlich alles verwertbare Material mitnimmt. Die manipulierte Datei „LicenseLoader.php“ aktiviert sich, sobald ein Administrator das WordPress-Dashboard öffnet. Sie kontaktiert einen Command-and-Control-Server, lädt eine zweite Schadcode-Stufe herunter und installiert diese als gefälschtes Plugin mit Namen wie „woocommerce-subscription“ oder „woocommerce-notification“.
Dieses Plugin ist für normale Administratoren unsichtbar. Es erfasst WordPress-Login-Daten inklusive Passwörtern und Session-Cookies, 2FA-Schlüssel aus Sicherheitsplugins, Datenbank-Zugangsdaten aus der „wp-config.php“, SMTP-Anmeldedaten und WooCommerce-Bestelldaten der letzten drei Monate – inklusive der verwendeten Zahlungsarten. Kurz gesagt: Die Angreifer erhalten alles, was nötig ist, um einen Shop langfristig auszubeuten oder als Sprungbrett für weitere Angriffe zu missbrauchen.
Besonders brisant ist der Diebstahl von Zahlungsinformationen aus WooCommerce-Bestellungen. Auch wenn aktuelle Payment-Service-Provider in der Regel keine vollständigen Kartennummern im Shop speichern, reichen oft Teildaten, Zahlungsarten und Bestellhistorien, um gezielte Phishing-Kampagnen gegen Kunden zu starten. Für deutsche und österreichische Händler kommt erschwerend hinzu: Ein solcher Vorfall ist unter der DSGVO und dem österreichischen DSG meldepflichtig, sobald personenbezogene Kundendaten betroffen sind.
Welche deutschen Händler sind besonders gefährdet?
Der Angriff trifft vor allem kleine und mittlere Online-Shops, die ihre WooCommerce-Instanz ohne dediziertes Sicherheitsteam betreiben. Agenturen, die Dutzende Kunden-Websites zentral verwalten, sind ein zweites Risikofeld. Ein einziger kompromittierter Admin-Account oder ein gemeinsam genutztes Plugin-Lizenz-Konto kann dort wie ein Schlüsselbund wirken, der mehrere Türen öffnet.
Warum Agenturen ein besonderes Risiko tragen
Deutsche WooCommerce-Agenturen pflegen oft über Admin-Zugänge oder Manager-Tools gleichzeitig 20, 50 oder 100 Shops. Wenn eine solche Agentur ein kompromittiertes Plugin auf mehreren Kunden-Installationen aktualisiert, verbreitet sie den Schadcode quasi im Vorbeigehen. Die Haftungsfrage ist dabei unangenehm: Der Kunde hat den Angriff nicht selbst verursacht, aber die Agentur hat das Update eingespielt. Künftig werden solche Fälle die Vertragsgestaltung zwischen Shop-Betreibern und Dienstleistern verschärfen.
Auch Händler, die ihre Plugins über Marketplaces oder Subskriptionen mit automatischen Updates verwalten, sollten hellhörig werden. Die ShapedPlugin-Attacke zeigt, dass der Update-Kanal selbst zur Schwachstelle werden kann. Bisher galt der grüne „Jetzt aktualisieren“-Button im WordPress-Backend als Synonym für Sicherheit. Dieses Modell bröckelt.
DSGVO-Trap: Viele betroffene Shop-Betreiber dürften gar nicht wissen, ob ihre Kundendaten abgeflossen sind. Die Malware meldet sich an den C2-Server und kann jederzeit weitere Befehle empfangen. Ohne Forensik bleibt unklar, welche Daten tatsächlich extrahiert wurden – und das erschwert eine rechtskonforme Meldung an die Aufsichtsbehörde erheblich.
Was müssen Shop-Betreiber jetzt prüfen?
Wer eine der betroffenen Pro-Versionen nutzt, sollte zunächst die Versionsnummern kontrollieren: Product Slider Pro vor 3.5.4, Real Testimonials Pro vor 3.2.6 und Smart Post Show Pro vor 4.0.2 sind potenziell kompromittiert. Die bereinigten Updates stehen zur Verfügung. Doch ein Klick auf Aktualisieren reicht nicht.
Im ersten Schritt empfiehlt sich eine Suche nach gefälschten WooCommerce-Plugins im Verzeichnis „/wp-content/plugins/“. Dateien oder Ordner mit Namen wie „woocommerce-subscription“ oder „woocommerce-notification“, die nicht zum eigenen aktiven Bestand gehören, sind ein Alarmzeichen. Anschließend sollten alle Administrator-Passwörter zurückgesetzt, 2FA-Schlüssel neu generiert und die Benutzerliste auf unbekannte Accounts geprüft werden.
- Alle Admin- und Datenbank-Passwörter ändern, nicht nur das WordPress-Login
- 2FA-Schlüssel neu ausstellen und alte Backup-Codes deaktivieren
- Server-Logs auf ungewöhnliche Dateizugriffe und ausgehende Verbindungen untersuchen
Ebenfalls zu prüfen ist die „wp-config.php“. Sind dort die WordPress-Authentifizierungsschlüssel unverändert, sollten sie neu generiert werden. Wer Zugangsdaten für SMTP-Dienste, Payment-Provider oder ERP-Schnittstellen im Shop hinterlegt hat, muss diese ebenfalls wechseln. Der Grund: Die Malware sammelte gezielt solche Credentials, um auch nach einer Bereinigung des WordPress-Systems weiterhin Zugang zu haben.
Warum reicht ein Plugin-Update nicht mehr aus?
Der ShapedPlugin-Vorfall ist kein Einzelfall. Er folgt nur wenige Wochen nach dem OptinMonster-Hack, bei dem Angreifer über ein kompromittiertes CDN-Account Schadcode in das Auslieferungsnetzwerk eines großen WordPress-Produkts einschleusten. Beide Fälle zeigen dasselbe Muster: Die Perimeter-Sicherheit funktioniert, die WordPress-Installation ist gepflegt, und trotzdem landet Schadcode auf dem Server, weil ein Lieferant oder Dienstleister angegriffen wurde.
Für E-Commerce-Verantwortliche bedeutet das eine neue Pflichtenverteilung. Sicherheit endet nicht am eigenen Serverrand. Jeder Premium-Plugin-Anbieter, jede Agentur mit Admin-Zugang und jede API-Schnittstelle wird zum potenziellen Vertrauensanker – oder zur potenziellen Schwachstelle. Die Frage lautet künftig nicht mehr: „Ist mein Shop aktuell?“, sondern: „Wen vertraue ich, und wie schnell merke ich es, wenn dieses Vertrauen missbraucht wird?“
„Die größte Gefahr für WooCommerce-Shops kommt nicht mehr von veralteten Plugins, sondern von vertrauenswürdigen Update-Kanälen, die plötzlich nicht mehr vertrauenswürdig sind.“
Langfristig brauchen Shop-Betreiber ein Monitoring, das verdächtige Dateiänderungen, neue Plugins und ausgehende Netzwerkverbindungen erkennt. Staging-Umgebungen sollten zum Standard werden, bevor Updates auf dem Live-System landen. Und die Abhängigkeit von einzelnen Plugin-Anbietern lässt sich reduzieren, indem man kritische Funktionen dort nachfragt, wo sie wirklich nötig sind. Nicht jeder Slider muss ein Premium-Plugin sein.
Der Vorfall wird Folgen haben – nicht nur für ShapedPlugin, sondern für die Art und Weise, wie der WooCommerce-Ökosystem Updates bewertet. Händler, die jetzt ihre Infrastruktur überprüfen und ihre Update-Disziplin neu justieren, können aus dem Debakel des Anbieters einen Sicherheitsvorteil ziehen. Wer das aber als „wird schon nichts passiert sein“ abtut, riskiert, dass die eigene Kundendatenbank längst zum Verkauf angeboten wird.