Взлом WordPress: найден критический баг в теме для благотворительных сайтов

Критическая уязвимость была обнаружена в популярной коммерческой теме WordPress «Alone – Charity Multipurpose Non-profit WordPress Theme», используемой на благотворительных и некоммерческих сайтах. Эта тема, предназначенная для организаций, реализующих благотворительные проекты и сборы пожертвований, известна своими готовыми шаблонами, поддержкой платежных систем и совместимостью с конструкторами Elementor и WPBakery. Согласно данным компании Themetix, в настоящее время около 200 сайтов работают на этой теме.

Исследователи Wordfence зафиксировали, что атаки начались уже 12 июля — за два дня до официального раскрытия информации об уязвимости. За это время система Wordfence заблокировала более 120 000 попыток эксплуатации с почти десятка различных IP-адресов. Злоумышленники пытаются загрузить на сайт архив с файлом PHP, который даёт полный контроль над ресурсом: можно удалённо исполнять любой код, загружать файлы или создавать новые админские аккаунты. Помимо этого, уязвимость использовали для распространения вредоносных программ, позволяющих подчинять себе сайты и использовать их для рассылки фишинговых писем, перенаправления пользователей на вредоносные страницы и других преступных схем.

Уязвимыми оказались все версии темы вплоть до 7.8.3 включительно — только обновление до версии 7.8.5, выпущенной 16 июня 2025 года, устраняет баг. Уязвимость получила идентификатор CVE-2025-4394 и крайне высокий индекс опасности — 9,8 из 10. Если ваш сайт использует указанную тему, эксперты советуют срочно обновить её до актуальной версии.

Несмотря на репутацию WordPress как платформы для относительно безопасного создания сайтов, пользователи должны тщательно следить за сторонними темами и плагинами: использовать только необходимые и своевременно устанавливать обновления, чтобы минимизировать риски взлома.