Hacker nutzen Schwachstelle in WooCommerce-Plugin aus, um WordPress-Websites zu übernehmen

Hacker nutzen aktiv eine kritische Schwachstelle in einem WooCommerce-Plugin aus, um PHP-Backdoors auf WordPress-Websites hochzuladen. Sicherheitsforscher haben mehr als 100.000 Angriffe auf anfällige Installationen registriert.

Das Sicherheitsproblem betrifft das Premium-Plugin WooCommerce Wholesale Lead Capture. Eine erfolgreiche Ausnutzung kann Angreifern die vollständige Kontrolle über eine Website ermöglichen.

Kritische Schwachstelle ermöglicht Datei-Uploads

Die als CVE-2026-27540 verfolgte Schwachstelle betrifft WooCommerce Wholesale Lead Capture in Version 2.0.3.1 und älteren Versionen.

Der Sicherheitsforscher Teemu Saarentaus entdeckte die Schwachstelle. Sie ermöglicht es einem nicht authentifizierten Angreifer, beliebige Dateien hochzuladen, ohne sich auf der angegriffenen Website anzumelden.

Angreifer können die Schwachstelle ausnutzen, um PHP-Webshells auf dem Server zu platzieren. Anschließend können sie Befehle ausführen, die Hosting-Umgebung untersuchen und weitere schädliche Dateien hochladen.

Infolgedessen kann der Angriff zu einer vollständigen Kompromittierung der WordPress-Website führen.

Benutzergesteuerte Einstellung umgeht Dateibeschränkungen

Die Schwachstelle im WooCommerce-Plugin betrifft eine AJAX-Aktion namens wwlc_file_upload_handler. Diese Funktion prüft die Dateierweiterungen hochgeladener Dateien anhand einer Liste zulässiger Dateitypen.

Das Plugin bezieht diese Liste jedoch aus dem benutzergesteuerten Anfrageparameter file_settings. Ein Angreifer kann die Einstellung daher manipulieren und PHP zu den erlaubten Dateitypen hinzufügen.

Das anfällige Plugin akzeptiert anschließend die ausführbare Datei. Sobald die Webshell den Server erreicht, kann der Angreifer über einen Browser darauf zugreifen und den Angriff fortsetzen.

Mehr als 100.000 Angriffe entdeckt

Der Plugin-Entwickler behob die Schwachstelle in WooCommerce Wholesale Lead Capture Version 2.0.3.2, die am 20. Februar veröffentlicht wurde.

Trotz des verfügbaren Updates sind viele Websites weiterhin anfällig geblieben. Das WordPress-Sicherheitsunternehmen Defiant berichtete, dass seine Wordfence-Web-Application-Firewall mehr als 100.000 Versuche zur Ausnutzung von CVE-2026-27540 blockiert hat.

Die Angriffsaktivität nahm zwischen dem 4. und 17. Juni stark zu. Forscher registrierten außerdem deutliche Spitzen am 1. Juli und 30. August.

Mehrere besonders aktive IP-Adressen erzeugten Zehntausende schädliche Anfragen. Das alleinige Blockieren dieser Adressen bietet jedoch möglicherweise keinen dauerhaften Schutz, da Angreifer auf andere Server ausweichen können.

Hacker laden PHP-Webshells hoch

Bei beobachteten Angriffen luden Hacker eine Datei namens shell.php hoch. Die Webshell sammelte Informationen über den kompromittierten Host und zeigte über einen Browser ein Upload-Formular an.

Diese Funktion ermöglicht es dem Angreifer, weitere schädliche Dateien auf die Website zu schreiben. Zusätzliche Payloads könnten Informationen stehlen, Besucher umleiten oder dauerhaften Zugriff einrichten.

Angreifer können außerdem neue Administratorkonten erstellen oder bestehende WordPress-Dateien verändern. Daher entfernt das Löschen der zuerst entdeckten Webshell möglicherweise nicht alle Bestandteile der Kompromittierung.

Administratoren sollten das Plugin aktualisieren

Website-Administratoren sollten WooCommerce Wholesale Lead Capture sofort auf Version 2.0.3.2 oder höher aktualisieren. Jede Website, auf der Version 2.0.3.1 oder älter läuft, bleibt gefährdet.

Administratoren sollten außerdem Upload-Verzeichnisse auf unerwartete PHP-Dateien überprüfen, insbesondere auf Dateien, die kürzlich erstellt oder verändert wurden.

Serverprotokolle können Anfragen an /wp-admin/admin-ajax.php aufzeigen, die die anfällige Aktion wwlc_file_upload_handler aufrufen. Sicherheitsteams sollten diese Einträge zusammen mit unbekannten IP-Adressen und ungewöhnlichen Dateiaktivitäten untersuchen.

Administratoren müssen außerdem die WordPress-Benutzerliste auf unbekannte Konten mit erweiterten Berechtigungen überprüfen. Angreifer erstellen häufig Administratorkonten, um den Zugriff aufrechtzuerhalten, nachdem Sicherheitsteams schädliche Dateien entfernt haben.

Updates entfernen bestehende Backdoors nicht

Die Installation des gepatchten Plugins verhindert die zukünftige Ausnutzung dieser spezifischen Schwachstelle. Ein Update kann jedoch keine Webshells oder andere Mechanismen für dauerhaften Zugriff entfernen, die Angreifer zuvor installiert haben.

Wenn Administratoren eine Kompromittierung bestätigen, kann die Wiederherstellung der Website aus einem verifizierten sauberen Backup die sicherste Wiederherstellungsoption darstellen. Das manuelle Entfernen schädlicher Dateien kann schwierig sein, da Angreifer mehrere Backdoors auf dem Server verstecken können.

Nach der Wiederherstellung sollten Administratoren WordPress sowie alle Plugins und Themes aktualisieren, bevor sie die Website wieder in Betrieb nehmen. Außerdem sollten sie die Zugangsdaten für Administratoren, Datenbanken, Hosting und Dateiübertragungen zurücksetzen.

Die Kampagne verdeutlicht die Risiken, die durch anfällige Erweiterungen von Drittanbietern entstehen. Schnelle Updates und eine kontinuierliche Dateiüberwachung können dazu beitragen, dass eine einzelne Plugin-Schwachstelle nicht zur vollständigen Übernahme einer WordPress-Website führt.