Hackare utnyttjar aktivt en kritisk sårbarhet i ett WooCommerce-plugin för att ladda upp PHP-bakdörrar till WordPress-webbplatser. Säkerhetsforskare har registrerat mer än 100 000 attacker riktade mot sårbara installationer.
Säkerhetsproblemet påverkar premiumpluginet WooCommerce Wholesale Lead Capture. Ett framgångsrikt utnyttjande kan ge angripare full kontroll över en webbplats.
Kritisk sårbarhet möjliggör filuppladdningar
Sårbarheten, som spåras som CVE-2026-27540, påverkar WooCommerce Wholesale Lead Capture version 2.0.3.1 och tidigare.
Säkerhetsforskaren Teemu Saarentaus upptäckte sårbarheten. Den gör det möjligt för en oautentiserad angripare att ladda upp valfria filer utan att logga in på den utsatta webbplatsen.
Angripare kan utnyttja sårbarheten för att placera PHP-webbskal på servern. Därefter kan de köra kommandon, undersöka hostingmiljön och ladda upp ytterligare skadliga filer.
Följaktligen kan attacken leda till att hela WordPress-sajten komprometteras.
Användarkontrollerad inställning kringgår filbegränsningar
Sårbarheten i WooCommerce-pluginet påverkar en AJAX-åtgärd som heter wwlc_file_upload_handler. Den här funktionen kontrollerar uppladdade filändelser mot en lista över tillåtna filtyper.
Pluginet hämtar dock denna lista från den användarkontrollerade parametern file_settings i begäran. En angripare kan därför manipulera inställningen och lägga till PHP bland de tillåtna filtyperna.
Det sårbara pluginet accepterar då den körbara filen. När webbskalet når servern kan angriparen komma åt det via en webbläsare och fortsätta intrånget.
Mer än 100 000 attacker upptäckta
Pluginutvecklaren åtgärdade sårbarheten i WooCommerce Wholesale Lead Capture version 2.0.3.2, som släpptes den 20 februari.
Trots den tillgängliga uppdateringen har många webbplatser förblivit sårbara. WordPress-säkerhetsföretaget Defiant rapporterade att dess Wordfence-brandvägg för webbapplikationer blockerade över 100 000 försök att utnyttja CVE-2026-27540.
Attackaktiviteten ökade kraftigt mellan den 4 och 17 juni. Forskarna upptäckte också betydande toppar den 1 juli och 30 augusti.
Flera IP-adresser med hög aktivitet genererade tiotusentals skadliga förfrågningar. Att enbart blockera dessa adresser ger dock kanske inte ett varaktigt skydd eftersom angripare kan byta till andra servrar.
Hackare laddar upp PHP-webbskal
Under observerade attacker laddade hackare upp en fil med namnet shell.php. Webbskalet samlade in information om den komprometterade värden och visade ett uppladdningsformulär via en webbläsare.
Denna funktion gör det möjligt för angriparen att skriva fler skadliga filer till webbplatsen. Ytterligare nyttolaster kan stjäla information, omdirigera besökare eller etablera beständig åtkomst.
Angripare kan också skapa nya administratörskonton eller ändra befintliga WordPress-filer. Därför behöver en radering av det först upptäckta webbskalet inte ta bort alla delar av intrånget.
Administratörer bör uppdatera pluginet
Webbplatsadministratörer bör omedelbart uppgradera WooCommerce Wholesale Lead Capture till version 2.0.3.2 eller senare. Alla webbplatser som kör version 2.0.3.1 eller äldre är fortfarande exponerade.
Administratörer bör också kontrollera uppladdningskataloger efter oväntade PHP-filer, särskilt filer som nyligen har skapats eller ändrats.
Serverloggar kan avslöja förfrågningar till /wp-admin/admin-ajax.php som anropar den sårbara åtgärden wwlc_file_upload_handler. Säkerhetsteam bör undersöka dessa poster tillsammans med okända IP-adresser och ovanlig filaktivitet.
Administratörer måste också kontrollera WordPress användarlista efter okända konton med utökade behörigheter. Angripare skapar ofta administratörskonton för att behålla åtkomsten efter att försvarare har tagit bort skadliga filer.
Uppdatering tar inte bort befintliga bakdörrar
Installation av det korrigerade pluginet förhindrar framtida utnyttjande av just denna sårbarhet. En uppdatering kan dock inte ta bort webbskal eller andra mekanismer för beständig åtkomst som angripare tidigare har installerat.
Om administratörer bekräftar ett intrång kan återställning av webbplatsen från en verifierad ren säkerhetskopia vara det säkraste alternativet. Det kan vara svårt att manuellt ta bort skadliga filer eftersom angripare kan gömma flera bakdörrar på servern.
Efter återställningen bör administratörer uppdatera WordPress, alla plugin och teman innan webbplatsen tas i drift igen. De bör också återställa autentiseringsuppgifter för administratörer, databasen, hosting och filöverföring.
Kampanjen belyser riskerna som sårbara tredjepartstillägg skapar. Snabba uppdateringar och kontinuerlig filövervakning kan hjälpa till att förhindra att en enda sårbarhet i ett plugin leder till att en hel WordPress-webbplats kapas.
0 svar till ”Hackare utnyttjar sårbarhet i WooCommerce-plugin för att kapa WordPress-sajter”