Hackere udnytter aktivt en kritisk sårbarhed i et WooCommerce-plugin til at uploade PHP-bagdøre til WordPress-websteder. Sikkerhedsforskere har registreret mere end 100.000 angreb rettet mod sårbare installationer.
Sikkerhedsproblemet påvirker premium-pluginet WooCommerce Wholesale Lead Capture. En vellykket udnyttelse kan give angribere fuld kontrol over et websted.
Kritisk sårbarhed muliggør filuploads
Sårbarheden, der spores som CVE-2026-27540, påvirker WooCommerce Wholesale Lead Capture version 2.0.3.1 og tidligere.
Sikkerhedsforskeren Teemu Saarentaus opdagede sårbarheden. Den gør det muligt for en uautoriseret angriber at uploade vilkårlige filer uden at logge ind på det målrettede websted.
Angribere kan udnytte sårbarheden til at placere PHP-webshells på serveren. Derefter kan de udføre kommandoer, undersøge hostingmiljøet og uploade yderligere ondsindede filer.
Derfor kan angrebet resultere i en fuldstændig kompromittering af WordPress-webstedet.
Brugerkontrolleret indstilling omgår filbegrænsninger
Sårbarheden i WooCommerce-pluginet påvirker en AJAX-handling kaldet wwlc_file_upload_handler. Denne funktion kontrollerer filtypen på uploadede filer mod en liste over tilladte filtyper.
Pluginet henter dog denne liste fra den brugerkontrollerede anmodningsparameter file_settings. En angriber kan derfor manipulere indstillingen og tilføje PHP til de tilladte filtyper.
Det sårbare plugin accepterer derefter den eksekverbare fil. Når webshellen når serveren, kan angriberen få adgang til den via en browser og fortsætte indtrængningen.
Mere end 100.000 angreb registreret
Pluginudvikleren rettede sårbarheden i WooCommerce Wholesale Lead Capture version 2.0.3.2, der blev udgivet den 20. februar.
På trods af den tilgængelige opdatering er mange websteder forblevet sårbare. WordPress-sikkerhedsvirksomheden Defiant rapporterede, at dens Wordfence-webapplikationsfirewall blokerede over 100.000 forsøg på at udnytte CVE-2026-27540.
Angrebsaktiviteten steg kraftigt mellem den 4. og 17. juni. Forskerne registrerede også markante stigninger den 1. juli og 30. august.
Flere IP-adresser med høj aktivitet genererede titusindvis af ondsindede anmodninger. Det er dog ikke nødvendigvis tilstrækkeligt kun at blokere disse adresser, fordi angribere kan skifte til andre servere.
Hackere uploader PHP-webshells
Under observerede angreb uploadede hackere en fil med navnet shell.php. Webshellen indsamlede oplysninger om den kompromitterede vært og viste en uploadformular gennem en browser.
Denne funktion gør det muligt for angriberen at skrive flere ondsindede filer til webstedet. Yderligere payloads kan stjæle oplysninger, omdirigere besøgende eller etablere vedvarende adgang.
Angribere kan også oprette nye administratorkonti eller ændre eksisterende WordPress-filer. Derfor vil sletning af den første registrerede webshell ikke nødvendigvis fjerne alle dele af kompromitteringen.
Administratorer bør opdatere pluginet
Webstedsadministratorer bør straks opgradere WooCommerce Wholesale Lead Capture til version 2.0.3.2 eller nyere. Ethvert websted, der kører version 2.0.3.1 eller ældre, er fortsat eksponeret.
Administratorer bør også undersøge uploadmapper for uventede PHP-filer, især filer der er blevet oprettet eller ændret for nylig.
Serverlogfiler kan afsløre anmodninger til /wp-admin/admin-ajax.php, der aktiverer den sårbare wwlc_file_upload_handler-handling. Sikkerhedsteams bør undersøge disse poster sammen med ukendte IP-adresser og usædvanlig filaktivitet.
Administratorer skal også kontrollere WordPress-brugerlisten for ukendte konti med forhøjede rettigheder. Angribere opretter ofte administratorkonti for at bevare adgangen, efter at forsvarere har fjernet ondsindede filer.
Opdatering fjerner ikke eksisterende bagdøre
Installation af det rettede plugin forhindrer fremtidig udnyttelse af denne specifikke sårbarhed. En opdatering kan dog ikke fjerne webshells eller andre mekanismer til vedvarende adgang, som angribere tidligere har installeret.
Hvis administratorer bekræfter en kompromittering, kan gendannelse af webstedet fra en verificeret ren sikkerhedskopi være den sikreste løsning. Manuel fjernelse af ondsindede filer kan være vanskelig, fordi angribere kan skjule flere bagdøre på serveren.
Efter gendannelsen bør administratorer opdatere WordPress, alle plugins og temaer, før webstedet sættes i drift igen. De bør også nulstille legitimationsoplysninger til administratorer, database, hosting og filoverførsel.
Kampagnen fremhæver de risici, som sårbare tredjepartsudvidelser skaber. Hurtige opdateringer og løbende filovervågning kan hjælpe med at forhindre, at en enkelt sårbarhed i et plugin fører til en fuldstændig overtagelse af et WordPress-websted.
0 svar til “Hackere udnytter sårbarhed i WooCommerce-plugin til at kapre WordPress-websteder”