Миллионы WordPress под атакой

Более шести миллионов сайтов на WordPress оказались под угрозой захвата из-за двух критических уязвимостей в популярных плагинах Elementor Pro и Super Forms. Исследователи компании Wordfence сообщили, что обе ошибки уже использовались злоумышленниками в реальных атаках. То есть речь идет не о теоретическом сценарии из лаборатории, а о вполне рабочем способе проникновения на сайты.

Elementor Pro — коммерческий плагин для создания страниц без программирования. Он позволяет собирать сайты из готовых элементов, добавлять виджеты, шаблоны, формы и всплывающие окна. Плагин установлен более чем на шести миллионах сайтов.

До выхода исправления все версии Elementor Pro до 4.2.1 включительно содержали ошибку, связанную с загрузкой файлов без ограничений по типу. Уязвимость получила обозначение CVE-2026-32475 и оценку 9,8 из 10 — это критический уровень опасности. Атакующему не требовалась учетная запись: при определенных условиях он мог загрузить на сайт исполняемый файл и добиться удаленного выполнения кода.

Для атаки сайт должен был содержать опубликованную страницу с виджетом формы Elementor Pro, в которой присутствовало хотя бы одно необязательное поле загрузки файла. Исправление выпустили в середине августа 2026 года. По данным Wordfence, только специалисты этой компании заблокировали более 190 тысяч попыток эксплуатации уязвимости.

Примерно в тот же период исследователи обнаружили похожую проблему в Super Forms — конструкторе форм с интерфейсом перетаскивания элементов. У плагина около 13 тысяч активных установок, а уязвимыми были все версии до 6.3.313 включительно.

Ошибка позволяла неавторизованным пользователям загружать произвольные файлы, в том числе исполняемые. Это также создавало возможность для удаленного выполнения кода. Уязвимость зарегистрировали под номером CVE-2026-14894; ее критичность также оценили в 9,8 из 10. Исправление для Super Forms выпустили несколько недель назад.

Wordfence зафиксировала более 250 тысяч попыток атак на этот плагин. В сумме по двум уязвимостям число заблокированных или замеченных попыток достигло примерно 440 тысяч.

Владельцам сайтов рекомендуется без промедления обновить Elementor Pro и Super Forms до безопасных версий, а также проверить журналы сервера и учетные записи администраторов на признаки взлома. Популярность плагинов в данном случае сыграла против пользователей: чем шире распространен инструмент, тем привлекательнее он для тех, кто ищет один ключ к множеству дверей.