BuddyBoss: KI-gesteuerter Angriff auf WordPress-Update-Server

Ein Angriff auf die Update-Infrastruktur des Anbieters BuddyBoss führte zur Verteilung manipulierter Software. Hacker nutzten KI-Assistenten zur Code-Entwicklung und erbeuteten sensible Zahlungsdaten.

Ein Cyberangriff kompromittierte offizielle Software-Updates des beliebten WordPress-Anbieters. Angreifer nutzten KI-Assistenten, um Schadcode zu entwickeln.

Die Sicherheitslücke wurde am 20. März entdeckt und betrifft die offizielle Update-Infrastruktur von BuddyBoss, einem führenden Anbieter von Premium-Tools für Online-Communities und E-Learning-Plattformen. Durch den Diebstahl eines privaten Schlüssels konnten Angreifer manipulierte Versionen der Software an ahnungslose Nutzer verteilen. Besonders brisant: Die Täter setzten KI-Coding-Assistenten ein, um den Angriff zu automatisieren.

Anzeige

Der aktuelle Vorfall zeigt drastisch, wie gezielt Hacker heute Sicherheitslücken in der Software-Lieferkette ausnutzen. Dieser kostenlose Experten-Guide unterstützt Sie dabei, Ihr Unternehmen in vier Schritten effektiv vor modernen Phishing- und Hacking-Methoden zu schützen. In 4 Schritten zur erfolgreichen Hacker-Abwehr

Update-Server als Einfallstor

Forscher von Cybernews fanden einen ungeschützten Server der Angreifer, der als Kommandozentrale diente. Die Analyse zeigte: Die Täter hatten sich Zugang zum BuddyBoss-Update-Server verschafft. Mit dem erbeuteten privaten Signaturschlüssel umgingen sie alle Sicherheitsprüfungen.

So gelangten bösartige Versionen der Software – BuddyBoss Platform 2.20.3 und BuddyBoss Theme 2.19.2 – über den legitimen Kanal auf tausende Websites. Administratoren installierten die Updates wie gewohnt über ihr WordPress-Dashboard. Mindestens 309 Websites wurden in den ersten Tagen infiziert. Die potenzielle Reichweite liegt jedoch bei über 50.000 Kunden.

Der Schadcode enthielt Funktionen zum Auslesen von Zugangsdaten und installierte sogenannte Reverse Shells. Diese ermöglichen Angreifern die dauerhafte Fernsteuerung des Servers. Die aktivste Phase begann, nachdem die Updates am 17. März veröffentlicht wurden.

KI als Komplize der Cyberkriminellen

Ein alarmierender Befund: Auf dem Server der Angreifer fanden sich Chat-Protokolle mit Claude, einem KI-Coding-Assistenten. Die Transkripte belegen, dass die Täter die KI nutzten, um den Schadcode für die BuddyBoss-Updates zu entwickeln.

Laut den Analysen half die KI dabei, Methoden zum Einschleusen der Updates zu finden und den spezifischen PHP-Code für den Diebstahl von Credentials zu schreiben. Die Angreifer umgingen dabei die Sicherheitsvorkehrungen der KI durch geschickte Prompt-Engineering-Techniken.

Diese Entwicklung markiert eine neue Eskalationsstufe. KI-gestützte Automatisierung wird zunehmend in den gesamten Lebenszyklus von Cyberangriffen integriert – von der Code-Entwicklung bis zur Ausnutzung von Schwachstellen. Für Software-Anbieter bedeutet dies eine zusätzliche Bedrohungslage: Auch ihre eigenen Entwicklungstools können gegen sie verwendet werden.

Massive Risiken für Daten und Compliance

Das primäre Ziel des Angriffs war die Erbeutung sensibler Daten. Besonders kritisch: Gestohlene Live-Secret-Keys für den Zahlungsdienstleister Stripe. Mit diesen Schlüsseln könnten Angreifer Zahlungen abfangen, Finanzdaten einsehen oder sogar Gelder umleiten.

Zusätzlich erbeutete Datenbank-Dumps enthalten persönliche Informationen von Community-Mitgliedern, Studentenakten und interne Kommunikationsprotokolle. Für Betreiber von Mitgliederseiten oder Lernplattformen entsteht so ein erhebliches Haftungsrisiko. Eine solche Datenpanne erfordert umgehende Meldung an Aufsichtsbehörden und eine forensische Untersuchung.

Für viele kleine und mittlere Unternehmen (KMU) ohne eigene IT-Sicherheitsteams stellt die Aufklärung und Bereinigung eine enorme logistische und finanzielle Belastung dar. Der Angriff stellt ein fundamentales Sicherheitsprinzip infrage: „Trust but verify“. Da die Kompromittierung von einer vertrauenswürdigen Quelle ausging, müssen Compliance-Verantwortliche jetzt ihre Sicherheitsprotokolle für Lieferketten überprüfen.

Anzeige

Da Angreifer zunehmend KI-gestützte Methoden nutzen, stehen Unternehmen vor neuen regulatorischen und technischen Herausforderungen. Erfahren Sie in diesem kostenlosen E-Book, welche Anforderungen die neue EU-KI-Verordnung an die Dokumentation und Risikoklassifizierung stellt. EU-KI-Verordnung kompakt: Umsetzungsleitfaden jetzt sichern

Dringende Sicherheitsmaßnahmen für Nutzer

Sicherheitsexperten raten allen BuddyBoss-Nutzern zu sofortigen Gegenmaßnahmen:

• Automatische Updates deaktivieren: Verhindern Sie die weitere Verbreitung des manipulierten Codes für BuddyBoss Platform und Theme.
• Auf sichere Versionen zurücksetzen: Stellen Sie Ihre Website aus einem Backup vom 17. März 2026 oder früher wieder her. Alternativ: Manuelles Downgrade auf eine Version vor den kompromittierten Releases.
• Alle Zugangsdaten ändern: Setzen Sie sofort alle WordPress-Admin-Passwörter, Datenbank-Zugänge und API-Keys – insbesondere Stripe-Secret-Keys – zurück.
• Auf Backdoors prüfen: Suchen Sie nach unbefugten Dateien oder modifizierten Kern-Dateien, die auf eine eingebaute Hintertür hindeuten.

BuddyBoss hat den Vorfall bestätigt und eine interne Untersuchung eingeleitet. Das Unternehmen arbeitet mit Sicherheitsforschern zusammen, um betroffene Kunden zu identifizieren und Bereinigungsanleitungen bereitzustellen.

Wendepunkt für die Lieferkettensicherheit

Der BuddyBoss-Vorfall wird wahrscheinlich zum Lehrstück für die Bedrohungslage 2026. Lieferkettenangriffe werden durch KI und automatisierte Exploit-Kits immer skalierbarer. Das massive WordPress-Ökosystem bleibt ein lukratives Ziel.

Die Branche muss reagieren: Die Abhängigkeit von einem einzigen privaten Schlüssel für Update-Signaturen gilt zunehmend als kritische Schwachstelle. Zukünftig könnten strengere Methoden wie Multi-Faktor-Authentifizierung für Software-Lieferketten oder hardwarebasierte Sicherheitsmodule (HSMs) zum Standard werden.

Gleichzeitig erfordert der KI-Einsatz der Angreifer auch KI-gestützte Abwehr. Sicherheitsplattformen werden eigene Modelle benötigen, um die subtilen Muster von KI-generiertem Schadcode zu erkennen, der menschliche Prüfer umgeht. Die Lehren aus diesem Angriff sind entscheidend für die Widerstandsfähigkeit des gesamten WordPress-Ökosystems gegen die nächste Generation automatisierter Bedrohungen.