Du kaufst ein Plugin beim Hersteller. Du installierst Updates brav über den offiziellen Kanal. Genau das war diesmal der Angriffsweg: Bei ShapedPlugin haben Angreifer die Build- und Auslieferungs-Pipeline des Herstellers kompromittiert – und Schadcode direkt über die offiziellen, lizenzierten Pro-Updates verteilt. Wordfence hat den Vorfall am 18. Juni 2026 öffentlich gemacht.
Was ist passiert?
ShapedPlugin verkauft Pro-Versionen bekannter WordPress-Plugins. Die Updates dafür kommen nicht von WordPress.org, sondern vom eigenen Lizenzserver des Herstellers (Easy Digital Downloads über account.shapedplugin.com). Genau diese Infrastruktur wurde übernommen. Die Folge: Wer im Zeitraum April bis Juni 2026 ein Update eingespielt hat, hat sich unter Umständen eine Backdoor installiert – mit gültiger Lizenz, über den offiziellen Weg.
Der Gesamtvorfall läuft unter CVE-2026-10735 (CVSS 9,8). Für Product Slider Pro wurde zusätzlich CVE-2026-49777 mit dem Maximalwert CVSS 10,0 vergeben.
Diese Plugins sind betroffen
- Product Slider Pro for WooCommerce – Versionen vor 3.5.4
- Real Testimonials Pro – Version 3.2.5
- Smart Post Show Pro – Versionen vor 4.0.2
Wichtig: Die kostenlosen Versionen auf WordPress.org sind nicht betroffen. Es geht ausschließlich um Pro-Builds aus dem Update-System des Herstellers.
Was die Malware macht
Die kompromittierten Versionen enthalten einen Loader, der auf jeder Admin-Seite läuft. Er lädt von einem externen Server ein Schadpaket nach und aktiviert es als getarntes Plugin, das sich selbst aus der Plugin-Liste ausblendet. Danach wird es unangenehm:
- Zugangsdaten werden im Klartext mitgeschnitten – inklusive 2FA-Codes
- Ein eigener REST-Endpunkt erlaubt beliebige Datei-Schreibzugriffe
- Eine Web-Shell ermöglicht Befehlsausführung auf dem Server
- Ein Hilfsskript zieht die komplette wp-config.php (Datenbank-Zugang, Auth-Keys), alle Admin-Konten, SMTP-Zugangsdaten aus Mail-Plugins (WP Mail SMTP, Post SMTP, Easy WP SMTP) und WooCommerce-Bestelldaten der letzten drei Monate ab
Gerade der letzte Punkt macht den Fall für Shop-Betreiber heikel: Es geht nicht nur um deine Website, sondern um Kundendaten.
Warum „Update installieren“ diesmal nicht reicht
Der Reflex nach einer Sicherheitslücke ist: patchen, fertig. Hier greift das zu kurz. Wenn die Backdoor einmal gelaufen ist, hat der Angreifer Zugangsdaten, Auth-Keys und eigene Hintertüren – ein Plugin-Update entfernt davon nichts. Sicherheitsforscher sind deutlich: Wer die betroffenen Versionen im Zeitraum April bis Juni 2026 installiert hat, sollte die Website als kompromittiert behandeln, nicht als „veraltet“.
Deine To-do-Liste, wenn du betroffen bist
- Alle Passwörter zurücksetzen – WordPress-Nutzer, Datenbank, SFTP/Hosting
- 2FA-Secrets für alle Benutzer widerrufen und neu einrichten
- Admin-Konten prüfen: Gibt es Benutzer, die du nicht angelegt hast?
- SMTP-Konfiguration der Mail-Plugins kontrollieren und Zugangsdaten rotieren
- Auth-Keys und Salts in der wp-config.php neu generieren
- Dateisystem und Datenbank mit einem Malware-Scanner prüfen (versteckte Plugins, unbekannte PHP-Dateien, fremde REST-Endpunkte)
- Bei WooCommerce: prüfen, ob eine Meldepflicht nach DSGVO Art. 33 besteht – im Zweifel mit Datenschutz-Fachmensch klären
Die größere Lektion: Lieferketten sind das neue Einfallstor
ShapedPlugin ist kein Einzelfall. Erst im April 2026 wurden über 20 Plugins der EssentialPlugin-Suite nach einem Verkauf mit einer Backdoor versehen. Das Muster: Angreifer kompromittieren nicht mehr nur einzelne Websites, sondern die Stellen, denen alle vertrauen – Update-Server, Build-Pipelines, aufgekaufte Plugins.
Heißt das, du sollst keine Updates mehr installieren? Nein. Ungepatcht bleiben ist statistisch das viel größere Risiko – zwischen Lücken-Meldung und Massenangriff vergehen 2026 oft nur Stunden. Aber es heißt: Updates allein sind kein Sicherheitskonzept. Dazu gehören ein schlanker, gepflegter Plugin-Bestand, Datei-Integritäts-Monitoring, das Anschlagen bei neuen Dateien und Admin-Konten, Benutzerrechte nach dem Minimalprinzip und getestete Off-Site-Backups.
Genau das ist der Kern einer professionellen WordPress-Wartung: nicht nur klicken, wenn ein Update ansteht, sondern merken, wenn etwas nicht stimmt. Wie schnell aus einer einzelnen Plugin-Lücke ein Massenangriff wird, hat zuletzt auch der Fall Gravity SMTP gezeigt.
FAQ
Ich nutze die kostenlose Version eines ShapedPlugin-Plugins. Muss ich etwas tun?
Nein. Die freien Versionen auf WordPress.org sind von diesem Vorfall nicht betroffen. Der Schadcode kam ausschließlich über die Pro-Updates vom Lizenzserver des Herstellers.
Ich habe ein betroffenes Pro-Plugin, aber seit März 2026 kein Update gemacht. Bin ich sicher?
Vermutlich ja – die manipulierten Builds wurden zwischen April und Juni 2026 verteilt. Prüfe trotzdem deine installierte Version gegen die oben genannten Nummern und mach einen Malware-Scan. Sicher ist sicher.
Woran erkenne ich, ob die Backdoor aktiv war?
Typische Spuren: unbekannte Admin-Konten, PHP-Dateien, die nicht zu deiner Installation gehören, veränderte SMTP-Einstellungen, unerklärliche ausgehende Verbindungen. Ein sauberer Datei-Vergleich gegen Original-Plugin-Pakete und ein Scan der Datenbank-Optionen geben Gewissheit.
Wie schütze ich mich vor solchen Supply-Chain-Angriffen?
Hundertprozentig gar nicht – das ist die ehrliche Antwort. Du kannst aber den Schaden begrenzen: wenige, aktiv gepflegte Plugins, Monitoring auf Datei-Änderungen, minimale Benutzerrechte, aktuelle Backups außerhalb des Servers. Dann ist ein Vorfall ein Ärgernis, keine Katastrophe.
Unsicher, ob dein Shop betroffen ist?
Ich prüfe deine WordPress- oder WooCommerce-Installation auf die bekannten Spuren dieses Angriffs und räume auf, falls nötig. Sprich mit mir über dein Projekt – im Notfall auch kurzfristig.
Quellen
- Wordfence: PSA – Supply Chain Compromise Targets ShapedPlugin (18.06.2026)
- The Hacker News: ShapedPlugin WordPress Pro Plugins Backdoored in Supply Chain Attack (22.06.2026)
- CVE-2026-10735 (Gesamtvorfall) · CVE-2026-49777 (Product Slider Pro)
- Patchstack: Supply-Chain-Kompromittierung der EssentialPlugin-Suite (April 2026)