Angreifer nutzen eine Schwachstelle in Ninja Forms und eine separate Sicherheitslücke in WPC Product Bundles for WooCommerce aus, um WordPress-Websites zu kompromittieren. Die Kampagne verwendet bösartiges JavaScript, um Backdoors zu installieren und unbefugte Administratorkonten zu erstellen, darunter eines, das im Dashboard verborgen ist.
Forscher des WordPress-Sicherheitsunternehmens Patchstack entdeckten am 4. Oktober Angriffe auf WPC Product Bundles. Am folgenden Tag beobachteten sie dieselben Aktivitäten gegen Ninja Forms.
Für beide Plugins wurden Updates veröffentlicht, die die Schwachstellen beheben. Die Installation dieser Updates entfernt jedoch keine Infektion, die bereits auf einer Website vorhanden ist.
Zwei Plugins von Stored-XSS-Schwachstellen betroffen
Die Angriffe nutzen schwerwiegende Stored-Cross-Site-Scripting-Schwachstellen aus. Für die Ausnutzung beider Schwachstellen ist eine authentifizierte Sitzung erforderlich.
Die Schwachstelle in Ninja Forms, die als CVE-2026-94504 verfolgt wird, betrifft Version 3.15.3 und ältere Versionen. Ninja Forms bietet Tools zum Erstellen benutzerdefinierter Formulare und verfügt über mehr als 500.000 aktive Installationen.
CVE-2026-93836 betrifft unterdessen WPC Product Bundles for WooCommerce in Version 8.6.6 und älteren Versionen. Mit diesem Plugin können Händler Produkte zu Paketen zusammenfassen, und es wird auf mehr als 30.000 Websites eingesetzt.
Diese Installationszahlen beschreiben die Verbreitung der Plugins und nicht die Anzahl der kompromittierten Websites. Patchstack erklärt, dass die beobachtete Ausnutzung weiterhin begrenzt ist.
Bösartige Inhalte lösen Aktionen über die Sitzung eines Administrators aus
Die Angreifer versuchen, bösartiges JavaScript in WooCommerce-Bestelldaten oder Ninja-Forms-Einsendungen einzufügen.
Wenn ein angemeldeter Administrator die betroffenen Inhalte aufruft, wird das Skript über die authentifizierte WordPress-Sitzung dieses Administrators ausgeführt. Anschließend ruft es die Sicherheitstoken ab, die für administrative Aktionen erforderlich sind.
Danach verwendet die Payload legitime WordPress-Funktionen, um ein bösartiges Plugin zu installieren und ein Administratorkonto zu erstellen.
Das Plugin tarnt sich als „WP Smart Thumbnails“ Version 1.2.4 von „MediaPress Labs“. Bei beiden Angriffen wurde dieselbe JavaScript-Payload von einer gemeinsamen Domain ausgeliefert, was darauf hindeutet, dass derselbe Akteur hinter den Aktivitäten steckt.
Angreifer schaffen vier Wege zurück auf kompromittierte Websites
Die bösartigen JavaScript- und Plugin-Komponenten schaffen mehrere Möglichkeiten, den Zugriff aufrechtzuerhalten:
- Ein sichtbares unbefugtes Administratorkonto.
- Ein zweites Administratorkonto, das in der Benutzerliste des WordPress-Dashboards verborgen ist.
- Eine geheime Anmeldeadresse, die Zugriff als ältester bestehender Administrator der Website gewährt.
- Ein Dateimanager, der keine Authentifizierung erfordert und über das bösartige Plugin zugänglich ist.
Das versteckte Konto behält vollständige Administratorrechte. Es erscheint jedoch weder in der vollständigen Benutzerliste des Dashboards noch im Administratorfilter oder in der angezeigten Gesamtzahl der Benutzer.
Obwohl der Dateimanager Befehle nicht direkt ausführen kann, können Angreifer ihn verwenden, um zusätzliche bösartige Dateien auf der Website abzulegen.
Entfernen des Haupt-Plugins beseitigt nicht jede Backdoor
Das Löschen des gefälschten WP-Smart-Thumbnails-Plugins beendet die Kompromittierung nicht zwangsläufig.
Laut Patchstack sorgen separate Hilfs-Plugins dafür, dass das versteckte Administratorkonto und der geheime Anmeldemechanismus bestehen bleiben. Die Angreifer versehen diese Komponenten außerdem mit rückdatierten Zeitstempeln, damit sie weniger auffallen.
Folglich können andere Zugriffswege bestehen bleiben, selbst wenn die auffälligste bösartige Komponente entfernt wurde. Auch bei einer routinemäßigen Überprüfung des Dashboards kann das verborgene Administratorkonto übersehen werden.
Behobene Versionen schließen die Einstiegspunkte
Patchstack empfiehlt Administratoren, Ninja Forms auf Version 3.15.4 oder neuer zu aktualisieren. Websites, die WPC Product Bundles for WooCommerce verwenden, sollten Version 8.6.7 oder neuer installieren.
Diese Versionen beheben die in der Kampagne ausgenutzten Schwachstellen. Sie löschen jedoch keine unbefugten Konten, bösartigen Plugins oder anderen Persistenzmechanismen aus einer bereits kompromittierten Installation.
Administratoren sollten daher betroffene Websites zusätzlich zur Installation der Updates auf Anzeichen einer Kompromittierung überprüfen. Die Unterscheidung ist wichtig: Das Patchen schließt den anfälligen Einstiegspunkt, während die Bereinigung sämtliche bereits von den Angreifern eingerichteten Zugriffsmöglichkeiten beseitigen muss.
0 Kommentare zu „Ninja-Forms-Schwachstelle wird zur Installation von WordPress-Backdoors ausgenutzt“