[StefanT]

Nun gibt es eine offizielle Mitteilung vor, die einige offene Fragen beantwortet:

Es wird bestätigt, dass der Schadcode bösartig ist und durch eine fremde Person in die MyBB-Pakete eingeschleust wurde. Deshalb sollte unbedingt jeder prüfen, dass er nicht angreifbar ist indem er die Anweisungen oben befolgt. Die Pakete wurden sofort bereinigt als der Schadcode entdeckt wurde, Downloads nach der Ankündigung oben sind nicht betroffen. Es konnte allerdings nicht festgestellt werden, wann die Pakete manipuliert wurden. Wer direkt nach dem Release von MyBB 1.6.4 die Pakete heruntergeladen hat, könnte ebenfalls nicht betroffen sein.

Als Ursache für die Manipulation konnte das CMS, das bei MyBB.com für die Hauptseite und das Download-System benutzt wird, ausgemacht werden. Durch eine Sicherheitslücke darin, konnte ein Backdoor eingeschleust werden, der die Ausführung von PHP-Code und die Veränderung der MyBB-Pakete ermöglichte. Das CMS wurde vor einigen Jahren selbst entwickelt, allerdings hat wahrscheinlich ein verwendetes Framework eines Drittherstellers die Sicherheitslücke verursacht. Das CMS ist vollkommen eigenständig und benutzt keinerlei Code des MyBB, sodass das MyBB nicht von dieser Sicherheitslücke betroffen ist. Zudem sind alle Bereiche auf dem Server von MyBB.com voneinander isoliert, sodass das Forum und andere Bereiche nicht betroffen sind.

Als Konsequenz aus den Ereignissen sind verschiedene Änderungen geplant. Es sollen Prüfsummen angeboten werden, damit manipulierte Pakete erkannt werden können. Zudem soll es automatische Überprüfungen von einem getrennten Server geben. Auch wird überlegt, die Pakete in einem CDN zu verbreiten.