Webseitenbetreiber nutzen Captchas (Completely Automated Public Turing test to tell Computers and Humans Apart), um ihre Seiten vor automatisierten Zugriffen durch Bots zu schützen. Mit dem Anklicken einer Checkbox und dem Lösen eines Zahlen- oder Bilderrätsels verifizieren sich die Websitebesucherinnen und -besucher als Mensch. Das Bundesamt für Cybersicherheit (Bacs) warnt vor Cyberkriminellen, die diesen Mechanismus über kompromittierte Websites auch in der Schweiz ausnutzen. Dabei würden sie technische Probleme oder Captcha-Abfragen vortäuschen und Userinnen und User dazu verleiten, selbst schädliche Befehle in die Kommandozeile des eigenen Computers auszuführen. So werden Schadsoftware installiert und sensible Daten wie Zugangsdaten, Kreditkarteninformationen und Krypto-Wallets abgefangen, heisst es weiter.

Die gefälschten Captchas imitieren laut Bacs solche des US-amerikanischen Content-Delivery-Network-Anbieters Cloudflare und passen sich an die Sprache der Userinnen und User an. Auch das genutzte Betriebssystem werde dabei berücksichtigt.

Besonders häufig betroffen seien Websites, die auf dem Content-Management-System (CMS) Wordpress basieren. Weltweit hätten Cyberkriminelle bereits über 100'000 Websites kompromittiert. Schweizer Webseitenbetreiber und Web-Hosting-Anbieter melden die Ausnutzung zweier Schwachstellen namens "WP2Shell" (CVE-2026-63030, CVE-2026-60137) im CMS, wie es weiter heisst. Wordpress habe diesbezüglich bereits ein Sicherheitsupdate veröffentlicht, das anscheinend noch nicht von allen eingespielt wurde, so das Bacs.

Das Bundesamt hält ausserdem fest, dass es die betroffenen Betreiberinnen und Betreiber per E-Mail informiert und sie auffordert, die Schadsoftware zu entfernen und ihre Systeme abzusichern. Aktuell verfolge das Bacs sieben Kampagnen von Cyberkriminellen, welche mittels solcher Methoden Computer zu infizieren versuchen.

Um das Risiko einer Kompromittierung zu reduzieren, empfiehlt das Bundesamt den Webseitenbetreibern, wenn immer möglich automatische Update-Funktionen für das CMS, Aktualisierungen auch von Plug-ins und Add-ons, Einsatz einer Multi-Faktor-Authentisierung sowie das Befolgen der "Best Practices" und "Security Guidelines" des jeweiligen CMS-Herstellers.