Hartnäckige WordPress-Backdoor rekonstruiert sich über Datenbank und Shared Memory

Security · 1.10.2026

Sicherheitsforscher warnen vor einer resilienten WordPress-Malware, die sich nach einer Bereinigung selbstständig wiederherstellt.

Sicherheitsforscher haben eine hochentwickelte WordPress-Malware identifiziert, die über außergewöhnlich robuste Mechanismen zur Persistenzsicherung verfügt. Die als „SC“ codenamierte Backdoor nutzt eine raffinierte Kombination aus Datei-Injektionen, Datenbankeinträgen und dem Shared Memory (gemeinsam genutztem Arbeitsspeicher) des Webservers. Das Besondere an diesem Schadcode ist seine Fähigkeit, sich nach einer unvollständigen Bereinigung selbstständig wiederherzustellen, weshalb das einfache Löschen infizierter PHP-Dateien wirkungslos bleibt.

Warum ist das wichtig?

Zahlreiche Unternehmen und IT-Verantwortliche im DACH-Raum setzen für ihre Webpräsenzen, Blogs oder Kundenportale auf das Content-Management-System WordPress. Eine erfolgreiche Kompromittierung kann schwerwiegende Folgen nach sich ziehen – von der unbemerkt ausgespielten Schadsoftware an Webseitenbesucher bis hin zum Diebstahl sensibler Kundendaten. Da sich diese Backdoor tief in der Datenbank und im Arbeitsspeicher einnistet, wähnen sich Administratoren nach einer oberflächlichen Bereinigung oft in falscher Sicherheit. Dies erhöht den Aufwand für die IT-Forensik erheblich und erfordert ein tiefes Verständnis der Systemprozesse über das bloße Dateisystem hinaus.

Was Nutzer jetzt tun sollten

Um Systeme nachhaltig zu bereinigen und zukünftige Infektionen zu verhindern, sollten IT-Verantwortliche und Administratoren strukturierte Maßnahmen ergreifen:

• Datenbank gründlich prüfen: Suchen Sie gezielt nach verdächtigen PHP-Einträgen oder manipulierten Optionen in der Tabelle wp_options. Standardmäßige Datei-Scanner erfassen diese Datenbankeinträge in der Regel nicht.
• Webserver-Prozesse neu starten: Da sich die Schadsoftware im Shared Memory des Webservers (wie beispielsweise dem OPcache von PHP) einnisten kann, muss nach einer Bereinigung der Webserver-Dienst (wie Apache, Nginx oder PHP-FPM) zwingend neu gestartet werden, um den Arbeitsspeicher vollständig zu leeren.
• Vollständige Updates durchführen: Halten Sie den WordPress-Core sowie sämtliche Plugins und Themes stets auf dem neuesten Stand, da veraltete Erweiterungen das primäre Einfallstor für solche Angriffe darstellen.
• Zugriffsrechte restriktiv konfigurieren: Setzen Sie strenge Schreib- und Leserechte auf Serverebene um und blockieren Sie den unbefugten Zugriff auf administrative PHP-Dateien durch den Einsatz einer Web Application Firewall (WAF).

Fazit

Die Entdeckung dieser hochentwickelten Backdoor zeigt deutlich, dass traditionelle Antiviren-Lösungen und einfache Bereinigungsskripte bei modernen Bedrohungen oft unzureichend sind. Nur eine ganzheitliche Analyse, die das Dateisystem, die Datenbank und den Arbeitsspeicher des Servers umfasst, garantiert die dauerhafte Entfernung des Schadcodes.

Quelle: The Hacker News