Hinter massenhaften „Passwort zurücksetzen“-E-Mails stecken meist automatisierte Angriffe: Bots fordern für bekannte Anmeldenamen immer wieder neue Links an. Solange niemand diese E-Mails mitlesen kann, ist das lästig, aber harmlos.
Gefährlich wurde es durch eine im Oktober 2025 bekannt gewordene Sicherheitslücke im Plugin Post SMTP.
Die Sicherheitslücke in Post SMTP
- Das Plugin Post SMTP hatte in Versionen vor 3.6.1 einen schweren Fehler.
- Fremde konnten ohne Login die gespeicherten E-Mails der Webseite lesen, darunter auch E-Mails zum Zurücksetzen des Passworts, und damit fremde Konten übernehmen.
- Seit Version 3.6.1 ist die Lücke geschlossen. Wer das Plugin nutzt, sollte prüfen, ob eine aktuelle Version installiert ist.
Woher kennen die Angreifer überhaupt meinen Anmeldenamen?
Inhalte in WordPress sind mit einem Zugang verbunden. Sobald ein Inhalt öffentlich ist, wird in der Regel auch der zugehörige Anmeldename veröffentlicht, oft unbemerkt in den Meta-Informationen oder auf der Autorenseite.
Welche Maßnahmen kann ich ergreifen?
- Ein starkes, einzigartiges Passwort verwenden und sicher speichern, am besten in einem Passwortmanager.
- Zwei-Faktor-Authentifizierung aktivieren.
- Keine Inhalte mit einem Adminzugang erstellen
- sondern immer einen redaktionellen Zugang verwenden,
- noch besser: Inhalte einem Zugang ohne Loginmöglichkeit zuordnen.
- WordPress so anpassen, dass keine Anmeldenamen im Frontend sichtbar sind.
- WordPress, Plugins und Themes regelmäßig aktualisieren, um Sicherheitslücken vorzubeugen.
Waren eure Kunden betroffen?
Wir nutzen das Plugin sehr gerne und regelmäßig. Uns ist trotzdem keine betroffene Kundenseite bekannt.
Durch regelmäßige Updates und das aktive Monitoring von Sicherheitslücken halten wir die Zeit zwischen dem Bekanntwerden und dem Ausnutzen einer Lücke möglichst kurz.