Everest Forms-sårbarhed gør det muligt for angribere at overtage WordPress-websteder

En kritisk sårbarhed i pluginet Everest Forms Pro bliver aktivt udnyttet og gør det muligt for angribere at overtage sårbare WordPress-websteder.

Sikkerhedsforskere har observeret igangværende angreb, der retter sig mod sårbarheden, som gør det muligt for trusselsaktører uden autentificering at oprette administratorkonti uden gyldige loginoplysninger. Når angribere først opnår administratorrettigheder, kan de ændre indhold på webstedet, installere ondsindede plugins, udrulle malware eller opretholde langvarig adgang til kompromitterede websteder.

Opdagelsen har ført til hastende advarsler til WordPress-administratorer, der bruger berørte versioner af det populære formularplugin.

Sårbarheden muliggør fuld overtagelse af websteder

Everest Forms-sårbarheden påvirker premiumversionen af pluginet og har fået en kritisk alvorlighedsvurdering.

Ifølge forskerne kan angribere udnytte sårbarheden til at omgå normale autentificeringsmekanismer og oprette nye administratorkonti på sårbare websteder. Da administratorrettigheder giver fuld kontrol over en WordPress-installation, kan en vellykket udnyttelse hurtigt føre til en fuldstændig kompromittering.

I modsætning til angreb, der kræver stjålne loginoplysninger, kan denne sårbarhed udnyttes eksternt uden forudgående adgang til webstedet.

Det øger risikoen markant for interneteksponerede WordPress-installationer, som endnu ikke er blevet opdateret.

Aktiv udnyttelse er allerede i gang

Forskerne rapporterede, at trusselsaktører begyndte at målrette sårbarheden kort tid efter, at detaljerne blev offentliggjort.

Angrebene fokuserer på at identificere sårbare websteder og automatisk oprette falske administratorkonti. Når adgangen er etableret, kan angriberne bruge det kompromitterede websted til en række ondsindede formål.

Nogle kan udrulle malware eller omdirigere besøgende til svindelsider. Andre kan bruge det kompromitterede websted som en del af en større angrebsinfrastruktur.

Hastigheden af udnyttelsen viser, hvor hurtigt cyberkriminelle gør nye WordPress-sårbarheder til effektive angrebsværktøjer.

WordPress-plugins er fortsat populære mål

WordPress driver en betydelig del af internettet, hvilket gør dets plugin-økosystem til et hyppigt mål for angribere.

Mange kompromitteringer af websteder starter gennem sårbare plugins, der tilbyder ekstra funktionalitet, men som samtidig kan introducere sikkerhedssvagheder. Formularplugins er særligt attraktive, fordi de ofte behandler brugerinput og interagerer med følsomme funktioner på webstedet.

Sikkerhedseksperter anbefaler at minimere antallet af unødvendige plugins og installere opdateringer, så snart de bliver tilgængelige.

Regelmæssige sikkerhedsgennemgange kan også hjælpe med at identificere forældede komponenter, før angribere får mulighed for at udnytte dem.

Webstedsejere bør opdatere med det samme

Udvikleren bag pluginet har udgivet opdateringer, der løser sårbarheden.

Administratorer bør installere den nyeste version hurtigst muligt og gennemgå brugerkonti for uautoriserede administratorprofiler. Sikkerhedsteams bør også undersøge logfiler for usædvanlig aktivitet relateret til oprettelse af konti og undersøge eventuelle tegn på kompromittering.

Organisationer, der udskyder opdateringen, risikerer at efterlade deres websteder sårbare over for igangværende angreb.

Konklusion

Everest Forms-sårbarheden viser, hvordan et enkelt sårbart plugin kan bringe et helt WordPress-websted i fare. Ved at gøre det muligt for angribere at oprette administratorkonti uden autentificering giver sårbarheden en direkte vej til fuld kontrol over webstedet.

Da den aktive udnyttelse allerede er i gang, bør berørte organisationer prioritere opdateringer og gennemgå deres miljøer for tegn på uautoriseret adgang, før angribere får mulighed for at etablere et varigt fodfæste.