Een ernstig lek in een populaire WordPress-plug-in is de afgelopen weken gebruikt om duizenden WordPress-sites over te nemen, waaronder websites die de plug-in niet gebruiken. Het gaat om een kwetsbaarheid in de MailPoet-plug-in, die voor het versturen van nieuwsbrieven wordt gebruikt.

Via het lek, dat begin juli werd gepatcht, kan een aanvaller alles toevoegen op een website, zoals kwaadaardige code voor het besmetten van bezoekers, versturen van spam tot het defacen van de website zelf. MailPoet heeft meer dan 2 miljoen downloads, wat de populariteit onder aanvallers verklaart. Het probleem raakt echter ook websites die de plug-in niet hebben geïnstalleerd, zo meldt beveiligingsbedrijf Sucuri.

Het gaat dan om WordPress-sites in een shared hostingomgeving, waarbij erop een server meerdere WordPress-websites draaien. Als één van de gehoste websites de plug-in gebruikt kan het lek worden gebruikt om ook andere WordPress-sites op de server aan te vallen. Beheerders krijgen dan ook het dringende advies om MailPoet-installaties te upgraden.