IT-Sicherheitsforscher warnen vor einem aktiven Lieferkettenangriff auf die WordPress-Plug-ins OptinMonster, TrustPulse und möglicherweise PushEngage. Angreifer missbrauchen Schwachstellen darin, um Backdoors in verwundbare WordPress-Instanzen zu installieren. 1,2 Millionen Webseiten sollen bedroht sein.

Das schreiben die Autoren von Sansec in ihrer Analyse. Sie haben eine Supply-Chain-Attacke auf die Plug-ins OptinMonster, TrustPulse und PushEngage des Herstellers Awesome Motive aufgedeckt. Die Angreifer haben dabei bösartiges JavaScript in die legitimen Dateien eingeschleust, die Awesome Motive ausliefert. Diese Dateien sind dann in die Kunden-Webseiten eingebettet. Das bösartige JavaScript wartet darauf, dass sich ein Admin anmeldet, erstellt daraufhin einen Backdoor-Admin-Zugang und installiert noch eine sich versteckende Backdoor als Plugin; bei anderen Zugängen hält es die Füße still. Die neuen Zugangsdaten sendet es an eine Domain „tidio.cc“, die die reguläre Seite „tidio.com“ imitiert. Die Kampagne läuft seit Freitag, dem 12. Juni 2026.

Da die Angreifer volle Kontrolle über erfolgreich angegriffene Instanzen erhalten, können auch weitere Konten regulärer Besucher missbraucht werden. Awesome Motive vertreibt noch weitere populäre WordPress-Plugins. Zwar hat Sansec bislang nur Malware in dreien entdeckt, Nutzerinnen und Nutzer der anderen Plug-ins sollten jedoch aufmerksam bleiben und ihre Systeme auf Hinweise für Angriffe (Indicators of Compromise, IOC) überwachen. Allein das OptinMonster-Plugin kommt auf mehr als eine Million Installationen, erörtert Sansec. Aber auch WPForms mit mehr als sechs Millionen Installationen, All-in-One-SEO (drei Millionen Installationen) oder MonsterInsights (rund zwei Millionen Installationen) könnten möglicherweise im Visier der Angreifer sein.

Angriffe beobachtet

Sansec zufolge haben die IT-Sicherheitsforscher von Patchstack Erkennungen gebaut und damit in kurzer Zeit hunderte Angriffsversuche auf 13 Sites am Sonntag und Montag entdeckt. Wer Plugins von Awesome Motive einsetzt, sollte die in der Analyse genannten IOCs einmal prüfen.

Awesome Motive hat inzwischen ebenfalls reagiert und schreibt, dass Angreifer Zugangsdaten zum Content Delivery Network ergattern und damit Zugriff darauf erlangen konnten. Das nutzten sie zum Einschleusen einer manipulierten Version des JavaScripts, das die Produkte an die Kunden-Webseiten ausliefert. Für einen begrenzten Zeitraum habe das Skript die modifizierte Datei direkt aus dem CDN ausgeliefert. Awesome Motive betont, dass Anwendungsserver, Quellcode und die Systeme, die OptinMonster- und TrustPulse-Kontoinformationen speichern, unabhängig gehostet werden und nicht kompromittiert wurden.

Die Kompromittierung beschränkte sich demnach auf die Marketing-Webseite und durch einen darin gespeicherten CDN-API-Key auf das CDN-Konto. Die manipulierte Software sei einige Stunden am 12. Juni 2026 verteilt worden. Webseiten, die das Skript geladen hatten und wo sich Admins in dem Zeitfenster angemeldet haben, seien kompromittiert. Der Anbieter gibt dann Hilfestellung, wie Betroffene ihre Systeme wieder bereinigen können.

Sicherheitslücken in WordPress-Plug-ins dienen Angreifern immer wieder als Einstiegspunkt, um Systeme zu kapern. Anfang Mai wurden etwa Angriffe auf das WordPress-Plugin Breeze Cache beobachtet. Lieferkettenangriffe wie der nun erfolgte sind bislang jedoch selten.

(dmk)

Im Rahmen der Einführung von iOS 27 hat Apple verschiedene eigene Apps mit einer neuen Ansicht ausgestattet, die Rückschlüsse auf ein kommendes Gerät ermöglichen. Es handelt sich dabei um Anwendungen wie „Wo ist?“, Podcasts, Sprachmemos, Wetter, Fitness+ (außerhalb der Videodarstellung), Home, Kurzbefehle sowie die App zur Steuerung der Apple Watch. Allesamt bekommen mit dem neuen Betriebssystem erstmals eine Darstellung im Querformat, sobald man das iPhone in die Horizontale dreht und die Ausrichtungssperre nicht aktiv ist. Das wiederum passt gut zu Apples geplantem iPhone-Foldable, das in der Gerüchteküche unter dem Namen Ultra läuft und im aufgeklappten Zustand einen breiten Bildschirm aufweist.

Veränderungen an zahlreichen Apps

Weiterhin interessant: iOS 27 stellt Live-Aktivitäten nun auch im Querformat dar und Apple hat an der Darstellung von Apps gearbeitet, die bereits im Querformat verwendet werden können, darunter die Nachrichten-App. Noch nicht im Querformat angezeigt wird hingegen der Homescreen mit den Icons. Dieses Feature gab es dereinst, wurde aber vor inzwischen fast zehn Jahren abgeschafft.

Apple soll die Vorstellung seines ersten Foldable im Herbst – genauer: im September – planen. Zuletzt gab es Unruhe in der Lieferkette und Spekulationen, dass das Gerät zwar gezeigt, dann aber erst Anfang 2027 ausgeliefert werden könnte. Neu sind solche Gerüchte bei vollständig neuen Systemen allerdings nicht. Das Format des iPhone Ultra soll aufgeklappt ungefähr Passmaße haben und dabei an ein breites iPhone mini oder iPad mini erinnern. Das Seitenverhältnis ist angeblich 4:3, wobei 16:9 für Videoinhalte besser wäre. iOS 27 wird auch das Betriebssystem sein, mit dem das Foldable ausgeliefert wird.

Eine Frage der Darstellung

Unklar bleibt, welche Darstellungsformen das Foldable ermöglichen wird. Beobachter gehen derzeit nicht davon aus, dass Apple im aufgeklappten Zustand ein echtes Fenstermanagement wie beim iPad erlaubt. Denkbar wäre aber eine Split-Screen-Darstellung. So könnten etwa zwei Apps im Hochformat nebeneinander oder zwei Apps im Querformat übereinander platziert werden. Eine einzelne App im Querformat, wie sie iOS 27 nun bei zahlreichen weiteren Apple-Programmen ermöglicht, wäre auf dem iPhone Ultra wohl sehr groß. Da das iPhone allerdings bislang auf den Ein-App-Betrieb ausgelegt ist, könnte Apple diesen Modus zumindest erlauben oder standardmäßig aktivieren.

Die Geräte sollen die bislang teuersten iPhones aller Zeiten werden. Apple strebt angeblich Preise von deutlich über 2000 Euro an. Zu den Besonderheiten gehören ein faltenfreies Design im aufgeklappten Zustand sowie ein besonders haltbares Scharnier.

(bsc)

Jeden Monat veröffentlicht Google Updates über die Play-Dienste und den Play-Store. Die Aktualisierungen enthalten neue Funktionen und Fehlerbehebungen für Smartphones und weitere Produkte des Google-Ökosystems wie Tablets, Uhren, Smart TVs, Android Auto und Chromebooks, ohne dass ein regelrechtes Android-Update vonseiten der Gerätehersteller erforderlich ist. Mit dem bereits dritten Juni-Update der System-Dienste verteilt Google nun eine Funktion, mit der sich WhatsApp-Backups zentral verwalten lassen sollen.

Juni-Update der Play Dienste

Mit Version 26.23 der Google-Play-Dienste vom 15. Juni 2026 liefert Google den Versionshinweisen zufolge eine neue Funktion für die Dienstprogramme auf Android-Smartphones aus. Mit dieser sollen Nutzerinnen und Nutzer ihre WhatsApp-Backups direkt über die Geräteeinstellungen verwalten. Bislang war die Erstellung und Verwaltung von Chats-Backups nur über die Einstellungen in der WhatsApp-App möglich. Derzeit wird das Cloud-Backup unter WhatsApp für Android standardmäßig verschlüsselt in Google Drive abgelegt.

Mit der zusätzlichen neuen zentralen Backupverwaltung in den Geräteeinstellungen scheint Google den Android-Einstellungen mehr Gewicht verleihen zu wollen. Denn schon im Februar kündigte Google die Erweiterung der Backupfunktion an. Damals schrieb das Unternehmen, dass sich über die Funktion auch heruntergeladene Dokumente automatisch in Google Drive speichern lassen. Bis heute ist diese Funktion jedoch noch nicht verfügbar.

Auf zwei Redaktionsgeräten (Pixel 8 und 10 Pro) sind in der Backupfunktion lediglich die bisher verfügbaren „klassischen“ Optionen zu finden. Mit diesen lassen sich das System sowie Fotos und Videos in Google Drive respektive Fotos sichern. Zudem unterstützt die Funktion seit Längerem die Sicherung „anderer Gerätedaten“. Diese enthält Anrufe, Anruflisten, Geräteeinstellungen, SMS/MMS und SIM-Daten und mehr. Auch die neue WhatsApp-Backupverwaltung ist noch nicht an Bord, obwohl die neuesten Play-Dienste installiert sind.

Künftig scheint WhatsApp eine eigene Cloudsicherung unabhängig von Google zu erhalten, dann funktioniert die zentrale Verwaltung über die Geräteeinstellungen nicht mehr.

Weitere Optimierungen

Neben der angekündigten WhatsApp-Backupverwaltung enthält die neue Version der Play-Dienste „Updates bei den Systemverwaltungsdiensten zur Verbesserung der Geräteleistung“. Diese Updates sollen nicht nur für Smartphones, sondern auch für Autos (Android Automotive), PCs (ChromeOS), TV-Geräte und Wearables (Wear OS) mit Play-Diensten verteilt werden. Für diese Gerätegattungen liefert die neue Version auch „Fehlerkorrekturen im Zusammenhang mit Diensten für die Systemverwaltung und Diagnose“, so Google.

Für Android-Smartphones liefert die Aktualisierung ferner eine „verbesserte Nutzererfahrung beim Ansehen oder Aktualisieren der Synchronisierungseinstellung für Google Kontakte“ aus.

Zusätzlich zur neuen Play-Dienste-Version verteilt Google ein Update des Play Stores. Version 51.9 vom 15. Juni 2026 bringt unter anderem eine neue Option, mit der Rezensenten im Play Store ein Logo für Vertrauenswürdigkeit (Trusted Badge) erhalten können. Hierfür müsse man bestimmte Voraussetzungen für das „Programm für vertrauenswürdige Beitragende“ erfüllen und sich dafür anmelden. Weitere Neuerungen listet Google in der Versionsübersicht auf.

(afl)