Атакуващите се възползват от критична уязвимост в сигурността на WooCommerce Wholesale Lead Capture, платен (premium) WordPress плъгин, който има над 6 000 активни инсталации.

„Тази уязвимост може да бъде използвана от неавтентикирани атакуващи за качване на произволни файлове, включително PHP задни врати (backdoors), и постигане на дистанционно изпълнение на код“, съобщават от Wordfence.

Компанията за киберсигурност на WordPress заяви, че е блокирала над 100 000 опита за експлоатация, насочени към уязвимостта от юни 2026 г. насам, като 99 от тези опити за атака са регистрирани през последните 24 часа. Уязвимостта се проследява като CVE-2026-27540 (CVSS оценка: 9.8).

Проблемът се дължи на качване на произволни файлове поради липса на проверка на типа файл в AJAX действие с име „wwlc_file_upload_handler“, което засяга всички версии на плъгина до 2.0.3.1 включително. Това отваря вратата за неавтентикиран атакуващ да качва произволни файлове на сървъра на засегнатия сайт, проправяйки пътя за дистанционно изпълнение на код.

При атаката, наблюдавана от Wordfence, киберпрестъпниците изпращат модифицирани заявки към AJAX действието „wwlc_file_upload_handler“ с фалшифициран параметър file_settings и зловреден PHP файл („shell.php“).

Каченият PHP файл представлява уеб шел, който докладва подробности за хоста и предлага базирана на браузър форма за качване за записване на допълнителни злонамерени файлове в компрометирания WordPress сайт. Опитите за атака произлизат от следните IP адреси -

  • 92.241.13.213
  • 31.59.129.150
  • 2a0f:85c1:840:5389::1
  • 92.241.13.140
  • 23.137.105.214
  • 23.180.120.140
  • 104.194.9.138
  • 187.75.114.36
  • 114.10.43.203
  • 37.114.144.209

Тъй като успешната атака позволява на атакуващия да качва произволни PHP файлове, на собствениците на WordPress сайтове се препоръчва да проверят за неочаквани или наскоро създадени .php файлове, главно в директорията uploads, и да прегледат за съмнителни заявки към „/wp-admin/admin-ajax.php“ с параметър на действието, настроен на „wwlc_file_upload_handler“ от посочените по-горе IP адреси.

Критична уязвимост в The Events Calendar

Развитието идва в момент, когато Wordfence детайлизира две критични уязвимости, засягащи The Events Calendar, WordPress плъгин, инсталиран на над 600 000 уебсайта. Успешната експлоатация изисква на целевата страница на събитието да са разрешени коментарите и опцията на плъгина „Show comments on event pages“ да е активна. Кратко описание на уязвимостите е дадено по-долу -

  • CVE-2026-78159 (CVSS оценка: 9.8) - Уязвимост, произтичаща от недостатъчна валидация на съпоставянето на класове (classes) на уиджета във функцията „parse_array“, която би могла да бъде експлоатирана за постигане на неавтентикирано дистанционно изпълнение на код (Засяга версии <= 6.17.3)
  • CVE-2026-78006 (CVSS оценка: 9.8) - Уязвимост, произтичаща от недостатъчна защита във функцията „is_safe_widget_instance“, която би могла да бъде експлоатирана за постигане на неавтентикирано дистанционно изпълнение на код (Засяга версии <= 6.17.4)

„И двете вериги започват в процеса на изобразяване на уиджети на плъгина и в крайна сметка могат да доведат до дистанционно изпълнение на код без автентификация чрез два отделни метода“, заявяват от Wordfence.

„Първата верига използва PHP Object Injection за изпълнение на произволни операционни системи команди на съответния сървър. Втората верига заобикаля защитата от инжектиране на обекти и злоупотребява с примитив за извикване на произволни функции, за да нулира паролата на администратора, след което атакуващият може да качи зловреден плъгин и да поемат пълен контрол над сайта.“

От Wordfence предупреждават, че и двете вериги могат да бъдат задействани чрез прегледа на чакащи коментари в WordPress без одобрение от модератор и че уязвимостта може да доведе до пълно превземане на сайта, кражба на чувствителни данни и внедряване на зловреден софтуер. StellarWP, компанията разработчик на плъгина, е отстранила уязвимостите съответно във версии 6.17.3.1 и 6.17.4.1.