Everest Forms-sårbarhet låter angripare ta över WordPress-webbplatser

En kritisk sårbarhet i pluginen Everest Forms Pro utnyttjas aktivt och gör det möjligt för angripare att ta kontroll över sårbara WordPress-webbplatser.

Säkerhetsforskare har observerat pågående attacker som riktar sig mot sårbarheten, vilken gör det möjligt för hotaktörer utan autentisering att skapa administratörskonton utan giltiga inloggningsuppgifter. När angripare väl har fått administratörsbehörighet kan de ändra innehåll på webbplatsen, installera skadliga tillägg, distribuera skadlig kod eller behålla långvarig åtkomst till komprometterade webbplatser.

Upptäckten har lett till brådskande varningar till WordPress-administratörer som använder berörda versioner av det populära formulärpluginet.

Sårbarheten möjliggör fullständig övertagning av webbplatser

Everest Forms-sårbarheten påverkar premiumversionen av pluginet och har klassificerats som kritisk.

Enligt forskarna kan angripare utnyttja sårbarheten för att kringgå normala autentiseringsmekanismer och skapa nya administratörskonton på sårbara webbplatser. Eftersom administratörsbehörighet ger full kontroll över en WordPress-installation kan en lyckad attack snabbt leda till att hela webbplatsen komprometteras.

Till skillnad från attacker som kräver stulna inloggningsuppgifter kan denna sårbarhet utnyttjas på distans utan tidigare åtkomst till webbplatsen.

Det ökar risken avsevärt för internetexponerade WordPress-installationer som ännu inte har uppdaterats.

Aktiv exploatering pågår redan

Forskarna rapporterade att hotaktörer började rikta in sig på sårbarheten kort efter att detaljerna offentliggjordes.

Attackerna fokuserar på att identifiera sårbara webbplatser och automatiskt skapa falska administratörskonton. När åtkomst har etablerats kan angriparna använda den komprometterade webbplatsen för en rad olika skadliga syften.

Vissa kan distribuera skadlig kod eller omdirigera besökare till bedrägliga webbsidor. Andra kan använda den komprometterade webbplatsen som en del av en större attackinfrastruktur.

Hastigheten i exploateringen visar hur snabbt cyberbrottslingar kan beväpna nyupptäckta WordPress-sårbarheter.

WordPress-pluginer fortsätter att vara attraktiva mål

WordPress driver en betydande del av internet, vilket gör dess ekosystem av pluginer till ett återkommande mål för angripare.

Många komprometteringar av webbplatser börjar genom sårbara pluginer som erbjuder extra funktionalitet men samtidigt kan introducera säkerhetsbrister. Pluginer för formulärhantering är särskilt attraktiva eftersom de ofta behandlar användardata och interagerar med känsliga funktioner på webbplatsen.

Säkerhetsexperter rekommenderar att minimera antalet onödiga pluginer och installera uppdateringar så snart de blir tillgängliga.

Regelbundna säkerhetsgranskningar kan också hjälpa till att identifiera föråldrade komponenter innan angripare hinner utnyttja dem.

Webbplatsägare bör uppdatera omedelbart

Utvecklaren bakom pluginet har släppt uppdateringar som åtgärdar sårbarheten.

Administratörer bör installera den senaste versionen så snart som möjligt och granska användarkonton efter obehöriga administratörsprofiler. Säkerhetsteam bör även undersöka loggar efter ovanlig aktivitet kopplad till skapandet av konton och utreda eventuella tecken på kompromettering.

Organisationer som skjuter upp uppdateringen riskerar att lämna sina webbplatser exponerade för pågående attacker.

Slutsats

Everest Forms-sårbarheten visar hur ett enda sårbart plugin kan utsätta en hel WordPress-webbplats för allvarliga risker. Genom att göra det möjligt för angripare att skapa administratörskonton utan autentisering erbjuder sårbarheten en direkt väg till fullständig kontroll över webbplatsen.

Eftersom aktiv exploatering redan pågår bör berörda organisationer prioritera uppdateringar och granska sina miljöer efter tecken på obehörig åtkomst innan angripare hinner etablera ett varaktigt fotfäste.