Hackare utnyttjar WordPress-plugin för att ladda upp PHP-bakdörrar

BleepingComputer rapporterar att hackare aktivt utnyttjar en kritisk sårbarhet i premiumtillägget WooCommerce Wholesale Lead Capture för WordPress för att ladda upp PHP-bakdörrar. Sårbarheten spåras som CVE-2026-27540 och påverkar pluginversion 2.0.3.1 och äldre versioner.

Säkerhetsforskaren Teemu Saarentaus upptäckte sårbarheten för godtycklig filuppladdning utan autentisering. Den exponerade AJAX-åtgärden wwlc_file_upload_handler kontrollerar filändelser med inställningar från den användarkontrollerade parametern file_settings. Angripare kan lägga till ”php” bland tillåtna filtyper, ladda upp PHP-webbskal och potentiellt ta full kontroll över en webbplats.

Problemet åtgärdades i version 2.0.3.2, som släpptes den 20 februari. WordPress-säkerhetsföretaget Defiant uppger att dess brandvägg för webbapplikationer, Wordfence, blockerade över 100 000 attacker kopplade till sårbarheten. Wordfence rapporterar att exploateringen ökade mellan 4 juni och 17 juni samt den 1 juli och 30 augusti.

Enligt Wordfence kan det uppladdade webbskalet samla in värduppgifter och erbjuda ett webbläsarbaserat formulär för att skriva ytterligare skadliga filer. Företaget har identifierat IP-adresser bakom tiotusentals försök. Forskare rekommenderar uppgradering till version 2.0.3.2 eller senare samt kontroll av oväntade PHP-filer, misstänkta anrop till /wp-admin/admin-ajax.php och okända administratörskonton. Vid bekräftat intrång kan webbplatsen behöva återställas från en säker säkerhetskopia, uppger de.