Уязвимый плагин WooCommerce открыл хакерам путь к сайтам
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Критическая уязвимость в популярном плагине для WooCommerce активно используется злоумышленниками. Через нее на сайты загружают вредоносные файлы, включая PHP-вебшеллы, а в худшем случае получают полный контроль над сайтом.
Речь идет о Wholesale Lead Capture Plugin for WooCommerce. Этот платный плагин предназначен для компаний, которые работают с оптовыми и B2B-клиентами. Он добавляет регистрацию и первичную настройку профилей, позволяет собирать сведения о компании и другие пользовательские данные, проверять заявки, назначать роли оптовых пользователей и автоматически отправлять письма о регистрации и подключении.
Стоимость плагина составляет от 99 до 600 долларов. Согласно странице плагина в каталоге WordPress, его используют более 20 000 активных установок. Иными словами, потенциальная зона риска заметно шире, чем один забытый сайт с тестовой формой.
Уязвимость получила идентификатор CVE-2026-27540 и критическую оценку 9,0 из 10. Это ошибка неаутентифицированной загрузки произвольных файлов: атакующему не нужно входить в учетную запись, чтобы отправить на сервер выбранный файл. Если сервер разрешает выполнение PHP-кода, такой файл может стать веб-шеллом — скрытым инструментом для управления сайтом через браузер.
Проблема затрагивала версии 2.0.3.1 и более ранние. Исправленная версия 2.0.3.2 вышла 20 февраля, поэтому патч доступен уже почти полгода. Но наличие обновления, как обычно, не означает, что его кто-то установил.
Компания Defiant, разработчик защитного сервиса Wordfence для WordPress, сообщила, что ее межсетевой экран заблокировал более 100 000 атак. Исследователи заметили два заметных всплеска активности: с 4 по 17 июня и с 1 июля по 30 августа.
В большинстве зафиксированных случаев злоумышленники загружали разведывательные вебшеллы. Вероятно, они сначала изучали окружение сайта — доступные файлы, настройки и возможности сервера, — а затем могли перейти к установке более опасного вредоносного ПО.
По данным исследователей, файл shell.php собирал сведения о хосте и предоставлял форму в браузере для загрузки дополнительных вредоносных файлов. Такой инструмент превращает обычный сайт в удобную точку входа: сначала проверка обстановки, затем — дальнейшее развитие атаки.
Владельцам сайтов, использующим этот плагин, рекомендуется немедленно обновить его до последней версии. После обновления следует проверить каталоги загрузок на наличие неожиданных или недавно созданных PHP-файлов. Само обновление закрывает известную дыру, но не удаляет автоматически файлы, которые могли быть загружены до установки исправления.
PEREC.RU
Материал посвящен активной эксплуатации критической уязвимости в платном плагине Wholesale Lead Capture Plugin for WooCommerce, предназначенном для WordPress-сайтов на WooCommerce. Плагин используется компаниями для регистрации и первичного сопровождения оптовых и B2B-клиентов: он собирает сведения о компаниях и другие пользовательские данные, позволяет проверять заявки, назначать роли оптовых пользователей и автоматизировать отправку писем о регистрации и подключении.
Потенциально затронуты более 20 000 активных установок. Стоимость плагина составляет от 99 до 600 долларов. Уязвимость имеет идентификатор CVE-2026-27540 и критическую оценку 9,0 из 10. Ее суть — в возможности загрузить произвольный файл без авторизации. В зависимости от настроек сервера это может привести к загрузке PHP-вебшелла, выполнению вредоносного кода и полному захвату сайта.
Уязвимыми были версии 2.0.3.1 и более ранние. Исправленная версия 2.0.3.2 выпущена 20 февраля, поэтому обновление доступно почти полгода. Несмотря на это, атаки продолжаются. Defiant сообщила, что межсетевой экран Wordfence заблокировал более 100 000 атак. Два всплеска активности наблюдались с 4 по 17 июня и с 1 июля по 30 августа.
В большинстве случаев атакующие загружали разведывательные вебшеллы. Они могли использоваться для изучения конфигурации и файлов сайта перед установкой более серьезного вредоносного ПО. Исследователи описали shell.php: файл собирает сведения о хосте и предоставляет браузерную форму для записи дополнительных вредоносных файлов на сайт.
Владельцам сайтов рекомендуется немедленно обновить плагин до последней версии и проверить каталоги загрузок на наличие неожиданных или недавно созданных PHP-файлов. Важный нюанс: установка исправления закрывает известный способ атаки, но сама по себе не обязательно удаляет вредоносные файлы, загруженные ранее. Поэтому после обновления нужна отдельная проверка сайта и, при необходимости, анализ журналов сервера.
