Alarmstufe Rot: Lieferkettenangriff auf WordPress-Plugins gefährdet Tausende Websites

Ein Lieferkettenangriff auf WordPress-Plugins hat im Frühjahr 2026 alarmierende Sicherheitslücken im Open-Source-Ökosystem aufgedeckt und tausende Websites gefährdet. Der Angriff ereignete sich, nachdem ein stiller Eigentumswechsel bei einem Plugin-Anbieter namens Essential Plugin stattgefunden hatte. Das ursprüngliche Entwicklerteam rund um Minesh Shah, Anoop Ranawat und Pratik Jain, unter dem Namen WP Online Support, hatte sein Plugin-Portfolio 2024 an einen Käufer mit dem Pseudonym „Kris“ verkauft. Dieser verfügte über Erfahrung in SEO, Krypto und Online-Marketing. Nach der Übernahme wurde heimlich eine bösartige Hintertür in die Codebasis eingeführt, die zunächst inaktiv blieb. Anfang April 2026 wurde sie aktiviert und begann, schädliche Payloads auf einer Vielzahl von Websites zu verbreiten.

Der alarmierende Vorfall wurde durch Austin Ginder, Gründer von Anchor Hosting, öffentlich gemacht. Er identifizierte den Angriff als Software-Lieferkettenangriff, bei dem bösartiger Code nach einem Eigentumswechsel inszeniert wurde. Die betroffenen Plugins, die über 400.000 Installationen, 15.000 Kunden und eine Präsenz auf 20.000 aktiven Websites verfügten, verdeutlichen die weitreichende Gefährdung im globalen Web-Ökosystem. WordPress-Plugins, aufgrund ihrer tiefgreifenden Zugriffsberechtigung auf die Webseiteninfrastruktur, repräsentieren ein hohes Sicherheitsrisiko, wenn sie kompromittiert werden. Dieser Vorfall unterstreicht die mangelnde Transparenz und Governance in Open-Source-Projekten nach Übernahmen.

Es fehlt ein etabliertes Verfahren für Code-Audits und Risikobewertungen nach einem Eigentümerwechsel, was zu solchen Angriffen führt. Die betroffenen Plugins wurden dauerhaft entfernt, und die Nutzer erhielten klare Anweisungen zur sofortigen Deinstallation und Systemüberprüfung.

Der Vorfall stellt jedoch nur die Spitze eines Eisbergs dar. Er signalisiert einen wachsenden Trend: die Instrumentalisierung von Vertrauen im Open Source für gezielte Angriffe. Innerhalb weniger Wochen ereigneten sich bereits zwei solche Übernahmen mit nachfolgendem Malware-Einbringen, was alarmierend deutlich macht, dass dringender Handlungsbedarf besteht. Mehr Transparenz bei Eigentümerwechseln, strengere Code-Audits und etablierte Governance-Modelle sind entscheidend, um das Vertrauen in Open Source zu schützen und zukünftige Angriffe zu verhindern.

Die offene Software-Community muss sich kollektiv dieser Herausforderung stellen, um die Sicherheit und Integrität des gesamten Ökosystems zu gewährleisten.

Schlagwörter: Essential + Minesh Shah + Anoop Ranawat

Wie bewerten Sie den Schreibstil des Artikels?