Shopbetreiber, die Plugins des WordPress-Anbieters ShapedPlugin nutzen, müssen aktuell von einer ernsten Sicherheitslücke ausgehen. Unbekannte Täter erlangten Zugriff auf den Update-Server des Herstellers und verteilten über das integrierte Plugin-Update-System manipulierte Dateien an WordPress-Installationen. Für WooCommerce-Shops ist das ein klassischer Supply-Chain-Angriff: Statt den Shop frontal anzugreifen, infiltrieren die Angreifer die Software-Versorgungskette.
Was genau ist bei ShapedPlugin passiert?
ShapedPlugin vertreibt unter anderem WooCommerce Product Slider, Product Table und weitere Erweiterungen für Onlineshops. Angreifer kompromittierten offenbar die Infrastruktur, über die diese Plugins Aktualisierungen beziehen. WordPress prüft regelmäßig auf neue Versionen und lädt sie im Hintergrund herunter – genau diesen Kanal nutzten die Täter. Der Server lieferte Schadcode aus, der sich auf den Zielseiten einnistete.
Besonders brisant: Viele Händler behandeln Plugin-Updates als Routine und klicken sie ohne Prüfung durch. Genau diese Automatisierung macht Angriffe auf Update-Server so wirksam. Wer eine infizierte Version installierte, öffnete seinem Shop möglicherweise Hintertüren für Datendiebstahl, Kreditkartenabgreifer oder dauerhafte Kontrolle durch die Angreifer.
Welche WooCommerce-Shops sind betroffen?
Primär gefährdet sind alle Installationen, die aktive ShapedPlugin-Produkte einsetzen – egal ob kostenpflichtige Premium-Lizenzen oder kostenlose Varianten aus dem WordPress-Repository. Da die kompromittierte Update-Schnittstelle vor allem lizensierte Produkte versorgt, dürften zahlende Kunden stärker betroffen sein. Shops, die die Plugins nur installiert, aber nicht aktiviert hatten, oder die Updates manuell deaktiviert hatten, laufen dagegen ein geringeres Risiko.
Wer in den vergangenen Wochen automatische Updates aktiviert ließ, sollte davon ausgehen, dass der eigene Server Kontakt mit dem Angreifer hatte. Die eigentliche Schadfunktion kann stark variieren: von harmlos wirkenden Backdoors bis hin zu Skripten, die Kundendaten auslesen oder Zahlungsinformationen abfangen.
Was müssen Händler jetzt umsetzen?
Als Erstes gilt: alle ShapedPlugin-Installationen auf den neuesten verfügbaren Stand bringen. Wer eine potenziell infizierte Version besitzt, sollte manuell über das WordPress-Backend oder per FTP eine saubere Version einspielen. Herstellerseitig bereinigte Update-Dateien sind derzeit die wichtigste Gegenmaßnahme.
Anschließend empfiehlt sich ein vollständiger Sicherheitsscan der Installation. Dazu gehören die Prüfung auf unbekannte Admin-Accounts, verdächtige Dateien im Uploads-Verzeichnis und manipulierte WordPress-Core-Dateien. Zugangsdaten zu WordPress, Datenbank, FTP und Hosting-Vertrag sollten gewechselt werden – ebenso API-Schlüssel für Zahlungsanbieter und Versanddienste, falls diese im Shop hinterlegt waren.
Für den laufenden Betrieb lohnt es sich, automatische Plugin-Updates kritisch zu betrachten. Wer Updates zunächst in einer Staging-Umgebung testet und erst nach kurzer Beobachtung live schaltet, verliert zwar Tempo, gewinnt aber Kontrolle. Das gilt besonders für Plugins, die direkt mit Zahlungs- oder Kundendaten arbeiten.
Der Vorfall zeigt erneut, dass WooCommerce-Shops nicht nur den eigenen Code, sondern die gesamte Plugin-Lieferkette im Blick behalten müssen. Ein einzelner kompromittierter Anbieter kann Tausende Shops auf einmal angreifbar machen.