Hackere utnytter aktivt en kritisk sårbarhet i et WooCommerce-plugin for å laste opp PHP-bakdører til WordPress-nettsteder. Sikkerhetsforskere har registrert mer enn 100 000 angrep rettet mot sårbare installasjoner.
Sikkerhetsproblemet påvirker premium-pluginet WooCommerce Wholesale Lead Capture. Vellykket utnyttelse kan gi angripere full kontroll over et nettsted.
Kritisk sårbarhet muliggjør filopplastinger
Sårbarheten, som spores som CVE-2026-27540, påvirker WooCommerce Wholesale Lead Capture versjon 2.0.3.1 og tidligere.
Sikkerhetsforsker Teemu Saarentaus oppdaget sårbarheten. Den gjør det mulig for en uautentisert angriper å laste opp vilkårlige filer uten å logge inn på det målrettede nettstedet.
Angripere kan utnytte sårbarheten til å plassere PHP-webshells på serveren. Deretter kan de kjøre kommandoer, undersøke hostingmiljøet og laste opp ytterligere skadelige filer.
Følgelig kan angrepet føre til en fullstendig kompromittering av WordPress-nettstedet.
Brukerkontrollert innstilling omgår filbegrensninger
Sårbarheten i WooCommerce-pluginet påvirker en AJAX-handling kalt wwlc_file_upload_handler. Denne funksjonen kontrollerer filendelsene til opplastede filer mot en liste over tillatte filtyper.
Pluginet henter imidlertid denne listen fra den brukerkontrollerte forespørselsparameteren file_settings. En angriper kan derfor manipulere innstillingen og legge til PHP blant de tillatte filtypene.
Det sårbare pluginet godtar deretter den kjørbare filen. Når webshellen når serveren, kan angriperen få tilgang til den via en nettleser og fortsette innbruddet.
Mer enn 100 000 angrep oppdaget
Pluginutvikleren rettet sårbarheten i WooCommerce Wholesale Lead Capture versjon 2.0.3.2, som ble utgitt 20. februar.
Til tross for den tilgjengelige oppdateringen har mange nettsteder forblitt sårbare. WordPress-sikkerhetsselskapet Defiant rapporterte at Wordfence-brannmuren for webapplikasjoner blokkerte over 100 000 forsøk på å utnytte CVE-2026-27540.
Angrepsaktiviteten økte kraftig mellom 4. og 17. juni. Forskerne oppdaget også betydelige topper 1. juli og 30. august.
Flere IP-adresser med høy aktivitet genererte titusenvis av skadelige forespørsler. Å blokkere disse adressene alene gir imidlertid kanskje ikke varig beskyttelse, fordi angripere kan bytte til andre servere.
Hackere laster opp PHP-webshells
Under observerte angrep lastet hackere opp en fil med navnet shell.php. Webshellen samlet inn informasjon om den kompromitterte verten og viste et opplastingsskjema gjennom en nettleser.
Denne funksjonen gjør det mulig for angriperen å skrive flere skadelige filer til nettstedet. Ytterligere nyttelaster kan stjele informasjon, omdirigere besøkende eller etablere vedvarende tilgang.
Angripere kan også opprette nye administratorkontoer eller endre eksisterende WordPress-filer. Derfor vil sletting av den første oppdagede webshellen ikke nødvendigvis fjerne alle deler av kompromitteringen.
Administratorer bør oppdatere pluginet
Nettstedsadministratorer bør umiddelbart oppgradere WooCommerce Wholesale Lead Capture til versjon 2.0.3.2 eller nyere. Alle nettsteder som kjører versjon 2.0.3.1 eller eldre, er fortsatt eksponert.
Administratorer bør også undersøke opplastingskataloger for uventede PHP-filer, spesielt filer som nylig er opprettet eller endret.
Serverlogger kan avsløre forespørsler til /wp-admin/admin-ajax.php som aktiverer den sårbare handlingen wwlc_file_upload_handler. Sikkerhetsteam bør undersøke disse oppføringene sammen med ukjente IP-adresser og uvanlig filaktivitet.
Administratorer må også kontrollere WordPress-brukerlisten for ukjente kontoer med utvidede rettigheter. Angripere oppretter ofte administratorkontoer for å beholde tilgangen etter at forsvarere har fjernet skadelige filer.
Oppdatering fjerner ikke eksisterende bakdører
Installering av det oppdaterte pluginet forhindrer fremtidig utnyttelse av denne spesifikke sårbarheten. En oppdatering kan imidlertid ikke fjerne webshells eller andre mekanismer for vedvarende tilgang som angripere tidligere har installert.
Hvis administratorer bekrefter en kompromittering, kan gjenoppretting av nettstedet fra en verifisert ren sikkerhetskopi være det tryggeste alternativet. Manuell fjerning av skadelige filer kan være vanskelig fordi angripere kan skjule flere bakdører på serveren.
Etter gjenopprettingen bør administratorer oppdatere WordPress, alle plugins og temaer før nettstedet tas i bruk igjen. De bør også tilbakestille påloggingsinformasjon for administratorer, databasen, hosting og filoverføring.
Kampanjen fremhever risikoene som sårbare tredjepartsutvidelser skaper. Raske oppdateringer og kontinuerlig filovervåking kan bidra til å forhindre at én enkelt sårbarhet i et plugin fører til fullstendig overtakelse av et WordPress-nettsted.
0 responses to “Hackere utnytter sårbarhet i WooCommerce-plugin for å kapre WordPress-nettsteder”