TeamUpdraft, das Unternehmen hinter dem Backup-Plugin UpdraftPlus und dem Verwaltungsdienst UpdraftCentral, hat einen unbefugten Zugriff auf seine Website am Wochenende des 17./18. Oktober 2026 gemeldet. Das Unternehmen geht davon aus, dass die Angreifer auf die Kundendatenbank zugegriffen haben – mit Namen, E-Mail- und Rechnungsadressen, Bestellhistorie, Passwort-Hashes, Einstellungen zur Zwei-Faktor-Authentifizierung sowie Verbindungsschlüsseln für UpdraftCentral, UpdraftVault und UpdraftClone.

Wie funktioniert der Angriff?

Laut Wordfence nutzten die Angreifer gültige UpdraftCentral-Verbindungsschlüssel, um Fernbefehle an verbundene WordPress-Seiten zu senden. Damit konnten sie bösartige Plugins hochladen, aktivieren und löschen. Die Befehle werden mit den Rechten jenes WordPress-Benutzers ausgeführt, der die Verbindung ursprünglich eingerichtet hat. Da sie gültig signiert waren, wurden sie von den Seiten als legitim akzeptiert – auch auf Installationen, die gegen eine frühere UpdraftPlus-Schwachstelle bereits gepatcht waren. Der Hoster Levamo spricht von über 100 betroffenen Seiten.

Wer ist betroffen?

Der UpdraftCentral-Client ist sowohl in UpdraftPlus Free als auch Premium enthalten, nimmt aber keine Befehle an, solange auf der Seite kein Verbindungsschlüssel existiert. Im Fokus stehen Seiten, die mit dem cloudbasierten UpdraftCentral-Dienst von TeamUpdraft verbunden sind. Achtung: Ein Schlüssel kann auch unbemerkt entstanden sein – UpdraftPlus 1.26.11 bietet beim Verbinden eines TeamUpdraft-Kontos an, die Seite zu UpdraftCentral hinzuzufügen, und diese Option ist standardmäßig aktiviert. Plugin-Downloads und selbst gehostetes UpdraftCentral sind laut TeamUpdraft nicht betroffen.

Was jetzt zu tun ist

1. Schlüssel prüfen und löschen: Unter Einstellungen > UpdraftPlus > Erweiterte Werkzeuge > UpdraftCentral alle vorhandenen Verbindungsschlüssel löschen.
2. Aktualisieren: TeamUpdraft nennt UpdraftPlus 1.26.13 (Free) und 2.26.13 (Premium) als Versionen, die ältere UpdraftCentral-Verbindungen trennen. Wichtig: Laut Nethemba entfernt 1.26.13 keine Schlüssel, die am 18. Oktober zwischen 12:07 und 21:00 UTC erstellt wurden – diese müssen manuell gelöscht werden.
3. Seite kontrollieren: WordPress Admin  kontrollieren auf unbekannte Benutzer und Plugins und alle Administrator-Passwörter ändern.
4. Wiederherstellung: Im Ernstfall nur aus einem Backup wiederherstellen, das vor dem 17. Oktober 2026 erstellt wurde.

Zusätzlicher Schutz
Patchstack und Wordfence blockieren UpdraftCentral-Befehle inzwischen für ihre Kunden; die Notfall-Firewallregel von Wordfence steht auch Nutzern der Gratisversion zur Verfügung.

Mehr Information: https://teamupdraft.com/blog/security-incident-october-2026/

Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner WordPress Website schnell und zuverlässig wieder her.

Der Beitrag Sicherheitswarnung: Gestohlene UpdraftCentral-Schlüssel für Angriffe auf WordPress-Seiten genutzt erschien zuerst auf Websicherheit Malware entfernen.

Zwei neu gepatchte WordPress-Schwachstellen werden schon in der Praxis aktiv ausgenutzt, wobei die Angriffe kurz nach ihrem Bekanntwerden begannen.

Die Schwachstellen wurden als WP2Shell bezeichnet und werden offiziell unter CVE-2026-60137 und CVE-2026-63030 geführt.

Laut Searchlight Cyber, dessen Forscher die Lücken entdeckt haben, sind WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1 betroffen. Searchlight haben auch ein gratis Tool namens wp2shell.com veröffentlicht, mit dem man überprüfen kann, ob die eigene WordPress-Website angreifbar ist.

„Der Angriff hat keine Voraussetzungen und kann von einem anonymen Benutzer in einer Standard-WordPress-Installation ohne Plugins ausgenutzt werden“, warnte das Sicherheitsunternehmen.

WordPress kündigte am Freitag Patches mit der Veröffentlichung der Versionen 6.9.5 und 7.0.2 an. Eine Korrektur ist auch in WordPress 7.1 Beta 2 enthalten.

WordPress 6.8 ist nur von der ersten Sicherheitslücke betroffen. Version 6.8.6 mit einer Fehlerbehebung wurde veröffentlicht. Versionen von WordPress vor 6.8 sind nicht betroffen.

Aufgrund des Schweregrads hat das WordPress.org-Team erzwungene Updates über das automatische Update-System für Websites aktiviert, auf denen betroffene Versionen laufen, teilten die WordPress-Entwickler mit.

Cloudflare hat ebenfalls Regeln eingeführt, um die Ausnutzung zu erkennen und Kunden zu schützen, deren Installationen nicht sofort gepatcht wurden.

CVE-2026-60137 ist eine SQL-Injection-Schwachstelle mit hohem Schweregrad, und CVE-2026-63030 ist eine kritische Schwachstelle zur Ausführung beliebigen Codes über das REST-API. Durch die Verkettung der beiden Lücken kann ein Angreifer eine nicht authentifizierte Remote-Code-Ausführung auf betroffenen WordPress-Websites erreichen. Bedrohungsakteure haben schon diese Schwachstellen ausgenutzt, um die Kontrolle über WordPress-Websites zu übernehmen.

Obwohl Searchlight Cyber keine Details veröffentlicht hat, um Missbrauch zu verhindern, wurden Proof-of-Concept-Exploits bereits von anderen öffentlich gemacht.

Die aktive Ausnutzung der WP2Shell-Schwachstellen wurde von mehreren Cybersicherheitsunternehmen bestätigt, darunter das WordPress-Sicherheitsunternehmen Patchstack.

Auch ich habe schon meinen ersten Opfern davon helfen können.

Website gehackt? Ich helfe dir.

Falls du den Verdacht hast, dass deine WordPress-Website bereits durch diese oder eine andere Sicherheitslücke kompromittiert wurde, stehe ich dir gerne zur Verfügung. Ich unterstütze dich bei der Analyse, Säuberung und Absicherung deiner Website – damit du wieder ruhig schlafen kannst.

Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner WordPress Website schnell und zuverlässig wieder her.

Der Beitrag WP2Shell WordPress-Core Schwachstellen werden aktiv ausgenutzt erschien zuerst auf Websicherheit Malware entfernen.

Die meisten Webmaster sind sich durchaus darüber im Klaren, dass eine gehackte Website den Umsatz und das organische Ranking ihrer Website erheblich beeinträchtigen kann. Darüber hinaus kann bösartiger Code oder Software aber auch dazu führen, dass keine Anzeigen auf Google (Google Ads) und anderen Werbeplattformen mehr geschaltet werden können.

Hier finden Sie eine Anleitung, um

• Google Ads Anzeigen wieder freizuschalten, die wegen ‚unerwünschter oder schädlicher Software‘ (Malware) abgelehnt wurden
• die Sperre des Google Ads Konto aufzuheben

Warum werden meine Google Ads aufgrund von Malware abgelehnt?

Google versucht immer, die Nutzer zu schützen.

Wenn Ihre Website gehackt wird, wurde wahrscheinlich Malware auf Ihrer Website installiert und Links führen zu anderen Websites, die Besucher Ihrer Websites schädigen können. Google hat eine Null-Toleranz-Politik gegenüber Websites, die Malware enthalten, und wird alles tun, um zu verhindern, dass diese Anzeigen geschaltet werden.

Es gibt eine Reihe von Gründen, warum Ihre Google Ads abgelehnt werden oder im schlimmsten Fall das ganze Google Ads Konto gesperrt wird, darunter:

1. Schädlicher Code, schädliche Programme oder benutzerdefinierte Skripte.
   Ihre Anzeigen werden sofort gesperrt, wenn Google Malware auf Ihrer Website oder Ihren Zielseiten erkennt. Alle benutzerdefinierten Skripte, die auf bösartige Domains oder Codes verweisen, können dazu führen, dass Google Ihre Anzeige markiert.
2. Gebündelte Software ohne Zustimmung.
   Einige Kriminelle versuchen, zusätzliche Software einzubinden oder zu „bündeln“, um sie von einer Zielseite herunterzuladen. Google nimmt dieses böswillige Vorgehen sehr ernst und verbietet Anzeigen, bei denen festgestellt wird, dass sie ohne Zustimmung Software herunterladen oder enthalten.
3. Benutzerdefinierte Skripte auf Ihrer Zielseite leiten zu schädlichen Inhalten weiter.
   Dazu gehören Weiterleitungen, die Benutzer von Ihrer Zielseite auf eine andere schädliche Website weiterleiten.
4. Auf Ihrer Zielseite finden automatische Downloads statt.
   Google verlangt, dass Software-Downloads erst gestartet werden, wenn der Nutzer durch Klicken auf die Download-Schaltfläche zugestimmt hat. Wenn auf Ihrer Zielseite ein automatischer Download erfolgt, wird Ihre Anzeige mit Sicherheit abgelehnt.
5. Formularfelder laden den Besucher dazu ein, vertrauliche Informationen einzugeben.
   Wenn Sie auf Ihrer Zielseite vertrauliche Informationen wie Sozialversicherungsnummern oder Bankkontodaten von Besuchern anfordern, ist dies ein todsicherer Weg zur Ablehnung Ihrer Anzeigen.
6. Falsche Darstellung des erwarteten Inhalts.
   Jede Anzeige, die das Wort „Download“ oder „Play“ enthält, ohne anzugeben, um welche Software es sich handelt, wird abgelehnt.
7. Böswillige Weiterleitungen zu unerwarteten Inhalten.
   Wenn Ihre Anzeige beispielsweise das Erscheinungsbild der Website des Herausgebers nachahmt und vorgibt, ein Video abzuspielen, stattdessen aber zu einem Software-Download führt, wird sie abgelehnt.
8. Website-Bilder enthalten Malware oder eingebetteten Code.
   Google kann Bilder kennzeichnen, von denen bekannt ist, dass sie schädliche Inhalte enthalten.

Google sagt nicht genau, warum das Google Ads Konto gesperrt wurde.

Ja, das ist das Problem.  Technisch gesehen gibt Google Ihnen einen Grund an, beispielsweise „Verdächtige Zahlungsaktivität“, „unerwünschte oder schädliche Software“ oder „Umgehung von Systemen“, und verweist Sie auf eine allgemeine Richtlinie, die dieses Thema abdeckt. Es kann jedoch sehr schwierig sein, genau herauszufinden, warum Ihr Konto gesperrt wurde.

Wenn Ihre Website kurz davor gehackt wurde, ist es klar, das das Google Ads Konto genau aus diesem Grund gesperrt wurde. Die angegebene Begründung ist dann meist „wegen unerwünschter oder schädlicher Software“.

Wieso nicht einfach ein neues Google Ads-Konto erstellen?

Wenn Ihr Google Ads Konto gesperrt wurde, ist das gar keine gute Idee, ein neues Google Ads Konto zu erstellen und mit diesem weiter Werbung zu schalten. Auch wenn der Google-Support Sie dazu auffordert (was manchmal der Fall ist), tun Sie es nicht. Die Eröffnung eines neuen Google Ads-Kontos für dasselbe Unternehmen, das bereits über ein gesperrtes Google Ads-Konto verfügt, verstößt gegen die Richtlinien von Google. Und Google ist wirklich gut darin, die Zusammenhänge zu erkennen und herauszufinden, was Sie tun möchten und bewertet das als „Umgehung von Systemen“. Das führt dazu, dass Sie für Google von einem Kunden mit einem Problem zu einem Kunden werden, der aktiv versucht, Google zu überlisten.

Das neue Konto wird nicht nur gesperrt werden, sondern das neue Konto kann auch Ihre Chancen auf eine Aufhebung der ursprünglichen Sperre verringern.

Reichen Sie nicht eine Berufung nach der anderen ein

Bei Google gibt es kein offizielles Limit für die Anzahl der Einsprüche, die Sie einreichen können. Je mehr Einsprüche jedoch erfolglos sind, desto geringer ist die Wahrscheinlichkeit, dass Ihr nächster Einspruch geprüft wird.

Google erwartet von Ihnen, dass Sie neue, relevante Informationen übermitteln, wenn Sie erneut einen Einspruch einreichen. Das „Spammen“ des Einspruchsformulars reduziert die Erfolgswahrscheinlichkeit.

Wichtig: das Problem wirklich beheben, bevor Sie Einspruch erheben!

Reparieren Sie die infizierten Dateien entweder durch die Wiederherstellung eines vorherigen sauberen Backups oder durch manuelles Entfernen aller Malware und Hintertüren auf dem Server und auch in der Datenbank.
Kontrollieren Sie auch, ob es Ihnen nicht bekannte Admin Users gibt.

Hinweis: Falls Sie das nicht selbst tun können, bin ich als Spezialist gerne für Sie da – kontaktieren Sie mich.

Verhindern Sie eine erneute Infektion und schützen Sie Ihre Website

Nachdem Sie – oder ein Spezialist – die Website gründlich überprüft hat und Hintertüren entfernt hat, um eine erneute Infektion zu verhindern, muss die Website besser geschützt werden. Stellen Sie sicher, dass alle Updates für WordPress, Plugins und Themes installiert werden, um etwaige Sicherheitsprobleme zu beheben. Und das nicht nur einmalig sondern regelmäßig.

Überprüfen Sie in der Google Search Console, ob Ihre Website auf der schwarzen Liste steht.

Dies muss behoben werden, BEVOR Sie mit einem Einspruch fortfahren .

Abgelehnte Anzeigen wieder freischalten lassen

Sobald Sie die Malware auf Ihrer Website beseitigt haben und alle Updates gemacht wurden, können Sie die folgenden Schritte ausführen, um alle von Google abgelehnten Anzeigen zu beheben:

1. Öffnen Sie ihre Google Ads Konto
2. klicken Sie oben in der Navigation rechts auf Benachrichtigungen.
3. Klicken Sie unter dem Hinweis „Anzeigen abgelehnt“ auf „Beheben“.
4. In der Spalte „Status“ der Anzeige sehen Sie den Grund für die Sperrung.
   Bewegen Sie den Mauszeiger über den Status „Abgelehnt“, um den Link zur Erläuterung der Richtlinie anzuzeigen.
5. Wählen Sie die abgelehnte Anzeige mithilfe des Kontrollkästchens aus.
6. Klicken Sie auf die Schaltfläche „Bearbeiten“ und legen Sie Einspruch gegen die Richtlinienentscheidung ein.
7. Wählen Sie unter Grund des Einspruchs die Option „Änderungen vorgenommen, um der Richtlinie zu entsprechen“ aus.
8. Klicken Sie auf „Senden“, um den Einspruch abzuschließen und Ihre Anzeigen zur Überprüfung einzureichen.

Die Bearbeitung und Behebung dauert oft einige Tage.

Ihren Google Account Manager direkt kontaktieren

Falls der Einspruch nichts bringt oder Sie bekommen die Meldung, dass ihre Website noch nicht alle Richtlinien trifft (was sehr oft der Fall ist, auch wenn ihre Website sauber ist!), sollten Sie versuchen, ihren Google Account Manager direkt zu kontaktieren!

Das geht über den Hilfe-Link rechts oben im Google Ads Menü. Im Sidebar dann die Kontakt-Option auszuwählen (ganz unten) und „Contact Us“ selektieren um eine E-Mail direkt zu senden:

• Machen Sie klar, dass Ihr Unternehmen seriös ist und was Sie bisher zur Lösung des Problems unternommen haben.
• Hier ist wichtig zu schreiben, dass alle Problemen gefunden und behoben sind, und auch die Website Sicherheit erhöht wurde durch die Aktualisierung alle Komponenten.
• Vielleich bei Ihnen nicht notwendig zu erwähnen, aber … bleiben Sie höflich, auch wenn die Situation für Sie kritisch ist. Ihr Google Account Manager ist nicht für die Kontosperrung verantwortlich, aber oft Ihre einzige Chance, dass Ihr Konto wieder freigeschaltet wird!

Auch hier dauert die Bearbeitung und Behebung oft einige Tage, aber meiner Erfahrung nach ist das die Methode mit dem größten Erfolgspotenzial.

Brauchen Sie Hilfe bei Ihrer Website?

Als Spezialist für WordPress bin ich für gerne für Sie da – kontaktieren Sie mich!

Der Beitrag Ihre Google Ads Konto ist gesperrt wegen „schädlicher Software“ – der schnellste Weg erschien zuerst auf Websicherheit Malware entfernen.

Ich halte einen Vortrag im Rahmen des WordPress Vienna & Drupal-Austria Meetup.

Vorträge:

• Security best-practice and synergies: Drupal and WordPress <temporary title> by Klaus Purer (Epiqo , Drupal Security Team Member) and Veselin Nikolov (Tech Lead Automattic) (Full talk)
• htaccess security & blacklisting status kontrollieren by Bruce Jackson (Websicherheit Österreich) – Download PDF dazu
• diverse andere Kurz-Vorträge zum Thema „Handling security issues“

Termin: 22. Jänner 2015, 19:00

Ort: APA – Austria Presse Agentur, 1060 Wien, Laimgrubengasse 10

mehr zu diesem Meetup …

Der Beitrag CMS Security Talk Wien erschien zuerst auf Websicherheit Malware entfernen.

Die Hacker haben nicht nur die Sicherheitslücke sofort großflächig ausgenutzt, sondern vielfach danach selbst einen Patch eingespielt um die alleinige Kontrolle über die Website zu haben. Die Eigentümer der Website waren bei einer Kontrolle daraufhi  im Glauben, auf einer sicheren Version von Drupal zu sein und merken den Hack vielleicht bis heute nicht.

Drupal reagiert nun mit einer Aufforderung an ALLE  Drupal 7 Webmaster, auf ein Backup vor dem 15. Oktober 2014 zurückzusetzen und danach sofort selbst den Patch durchzuführen.

Falls Sie kein aktuelles Backup haben, kontaktieren Sie uns – wir können um € 145 Ihre Website bereinigen und auf eine aktuelle, sichere Version bringen.

Drupal öffentliche Ankündigung

Der Beitrag Innerhalb von 7 Stunden waren alle Drupal 7 Websites gehackt erschien zuerst auf Websicherheit Malware entfernen.