Две критични уязвимости в приставката The Events Calendar за WordPress биха могли да позволят на автентифицирани или неоторизирани атакуващи да превземат уязвими уебсайтове.

Уязвимостите засягат повече от 600 000 активни инсталации. Те могат да доведат до отдалечено изпълнение на код, нулиране на администраторски пароли, внедряване на зловреден код и пълно компрометиране на сървъра.

Екипът на Wordfence Threat Intelligence, чрез Wordfence Argus, откри двете независими вериги от уязвимости на 21 и 22 август 2026 г.

И двата проблема съществуват в процеса на изчертаване на уиджети (widget-rendering) в приставката. Те могат да бъдат експлоатирани без необходимост от вход в системата, регистрация на акаунт или каквото и да е взаимодействие с потребителя.

Засегнатата приставка е The Events Calendar, разработена от StellarWP. Настоятелно се препоръчва на администраторите на уебсайтове незабавно да я актуализират до версия 6.17.4.1 или по-нова.

Критични уязвимости в приставката за WordPress

Първият проблем, проследяван като CVE-2026-78006, има оценка по CVSS от 9.8. Той засяга версиите на The Events Calendar до 6.17.4 включително. Уязвимостта позволява на киберпрестъпниците да злоупотребят с инжектиране на PHP обекти (PHP object injection), за да изпълняват команди на операционната система върху засегнатия уеб сървър.

Атаката започва, когато злонамерен субект изпрати специално форматиран коментар към страница за събитие. Атаката работи само ако коментарите за страниците за събития са разрешени и настройката на приставката „Показване на коментари в страниците за събития“ („Show comments on event pages“) е активна.

Въпреки това на атакуващия не му е необходим одобрен коментар, тъй като WordPress позволява на авторите на коментари да преглеждат предварително собствените си чакащи коментари чрез връзка за модерация.

The Events Calendar обработва цялата страница на събитието, включително коментарите, като блокове на Gutenberg. Този ненадежден дизайн позволява на инжектирания злонамерен блок в чакащ коментар да достигне до кода за изчертаване на уиджети в приставката.

Уязвимият код валидира инстанцията на уиджета, преди да генерира доверен WordPress хеш за нея. Изследователите установиха, че невалиден сериализиран PHP зловреден код може да заобиколи валидацията. Въпреки че приставката се опитва да блокира опасни обекти, PHP може да задейства т.нар. „магически методи“ (magic methods) при обработката на данните, контролирани от атакуващия.

Това поведение може да доведе до изпълнение на команди чрез уязвима процедура за десериализация. Атакуващият би могъл да изпълнява команди с правата на потребителя на уеб сървъра, което потенциално позволява кражба на данни, дефейсмент на уебсайта, инсталиране на зловреден код или хоризонтално ескалиране на достъпа (lateral movement) в хостинг средата.

Втората уязвимост, CVE-2026-78159, също е с оценка по CVSS 9.8. Тя засяга версии до 6.17.3 включително и използва различен вектор за получаване на контрол върху сайта.

Вместо инжектиране на обекти, втората атака използва специално подготвен масив, който преминава през проверката за сигурност на приставката. Контролираните от атакуващия данни след това се предават в шаблона за уиджети, където могат да достигнат до функция, приемаща извикваеми (callable) PHP функции.

Изследователите установиха, че злонамерен субект може да злоупотреби с това поведение, за да извиква функции на WordPress с подадени от него аргументи. Едно от потвърдените въздействия е нулирането на паролата на администратора на сайта. След това атакуващият може да се влезне като администратор, да качи зловредна приставка и да постигне отдалечено изпълнение на код.

StellarWP получи докладите за уязвимостите чрез портала за управление на уязвимости на Wordfence. Разработчикът потвърди и двата доклада на 24 август 2026 г. и малко след това пусна съответните корекции за сигурност. Версията с пълно отстраняване на уязвимостите е 6.17.4.1.

Потребителите на Wordfence Premium, Care и Response получиха защита от защитната стена за известните опити за експлоатация на 22 август 2026 г. Предвидено е потребителите на безплатната версия на Wordfence да получат същото правило за защита на 21 септември 2026 г.

Собствениците на сайтове трябва незабавно да обновят The Events Calendar, да прегледат дали коментарите са разрешени на страниците за събития, да премахнат ненужните приставки и да проверят администраторските акаунти и сървърните логове за съмнителна активност.