Kui su kodulehel on tasuta Elementor Website Builderi plugin, vaata kohe selle versiooni. Versioonides 4.3.0 ja 4.3.1 võis sisselogitud administraator avada ühe lingi ja luua seda teadmata uue adminikonto. Konto kasutajanime ja parooli oleks valinud keegi teine. Parandus on versioonis 4.3.2. Nii et kontrolli see ära, enne kui postkasti tagasi lähed.
Patchstack hindas turvaaugu kõrge riskiga veaks, mille CVSS-i skoor on 8,8. Nende 25. septembri 2026 teates ei olnud kirjeldatud päriselus nähtud rünnakuid. Ka 28. septembri 2026 seisuga polnud avalikke teateid aktiivsest ärakasutamisest. Hea uudis, aga põhjust katkist versiooni alles hoida see ei anna.
Mis Elementoris valesti läks?
WordPress kontrollib teatud päringute puhul tavaliselt peidetud kinnitust, mida nimetatakse nonce. Mõtle sellest kui märgist, mis ütleb: jah, see tegevus algas sinu sisselogitud haldusvaates. Kui märki pole, ei tohiks suvaline väljastpoolt avatud link panna lehte sinu nimel midagi tegema. Sellist brauseri kaudu tehtud trikki nimetatakse CSRF-iks.
Elementor 4.3.0 lisas funktsiooni, mis saadab redaktori kasutusandmeid WordPressi REST API kaudu. See on viis, kuidas redaktor, äpid ja pluginad lehega suhtlevad. Elementor tahtis, et tema enda sündmuste aadressile saadetud päringud ei peaks nonce-kontrolli läbima. Viga oli selles, kuidas aadressi kontrolliti: piisas, kui elementor/v1/events/ leidus kus tahes lingis, kasvõi küsimärgi järel. Sinna saab lingi koostaja ise teksti panna.
Nii võis hoopis mujale WordPressis suunatud päring kontrollist mööda minna. Elementor andis märku, et päring on juba kinnitatud, ja sama kontrolli kasutavad teised turvapluginad jäid samuti vahele. WordPressis võib ka tavaline link käivitada vormi saatmise moodi tegevuse. Ei mingit eraldi veebilehte ega keerulist skripti - piisab lingist kirjas, vestluses või kommentaaris. Versioon 4.3.2 kontrollib päringu päris marsruuti, mitte suvalist teksti küsimärgi järel.
Miks üks klõps e-poe omanikule korda läheb?
Pakid parasjagu tellimusi. Siis tuleb kiri: tellimusega #1047 on probleem. Vajutad lingile, et asja vaadata. Täiesti tavaline moment. Link võib viia sinu enda domeenile ja sisaldada aadressis /wp-json/. See ei pea üldse kahtlase võõra lehena välja nägema.
Trikk töötab siis, kui oled WordPressi sisse logitud. Päris tihti ongi omanikul sama brauser korraga nii meilide kui ka kodulehe haldamiseks lahti. Tugev parool ja kaheastmeline autentimine on endiselt head mõtted, aga 2FA ei peata just seda klõpsu. Keegi ei arva su parooli ära - ära kasutatakse sessiooni, mille sa ise juba avasid.
Turvauurija näites tekkis administraatori klõpsu järel uus adminikonto ründaja valitud kasutajanime ja parooliga. Samuti näidati ligipääsu lehe seadetele. Brauseris võis vastu vaadata lihtsalt toores tekst. Kiirel päeval on lihtne mõelda, et link oli katki, ja tellimuste pakkimisega edasi minna.
Mida võõras inimene oma adminikontoga teha saaks? Näiteks paigaldada tagauksega plugina, muuta makseseadeid, lisada ostukorvi andmeid varastavat koodi, laadida alla kliendiandmeid või sind kontost välja lukustada. Need on adminikonto võimalikud õigused, mitte selle turvaaugu puhul teatatud tagajärjed. Ka toimetajat või poe haldurit saaks sellise lingiga eksitada, kuid ainult nende kontode õiguste piires.
Kas sinu leht on ohus?
See viga puudutab ainult versioone 4.3.0 ja 4.3.1. Elementor lasi 4.3.0 välja 22. septembril 2026, 4.3.1 järgmisel päeval, 23. septembril, ja parandatud 4.3.2 tuli 24. septembril. Mõjutatud versioonid olid seega värskeimad võrdlemisi lühikest aega. Aga automaatne uuendus võis 4.3.0 sinu lehele paigaldada. Kui uuendused pärast seda seisma jäid, võib seal praegugi olla üks kahest vigasest versioonist.
Vea taga on peidetud Elementori katsefunktsioon. Seda ei näe Experiments-vaates, nii et ära kuluta aega väljalülitamise nuppu otsides. Funktsioon on vaikimisi sees lehtedel, kuhu Elementor paigaldati esimest korda versioonina 3.32.0 või uuemana. Seadistusi muutmata värske mõjutatud 4.3.x paigaldus on samuti ohus. Ausalt öeldes pole paigaldusajaloo uurimine siin kuigi kasulik - vaata versiooni ja uuenda.
Versioonidel 4.2.x ja vanematel seda konkreetset viga pole, sest funktsioon tuli alles 4.3.0-ga. Uuenda neid siiski, kuna vanematel versioonidel on olnud muid parandatud probleeme. Kas kasutad tasulist Pro versiooni? Kontrolli ka tasuta Elementori pluginat, sest Pro vajab seda töötamiseks. Oleme varem kirjutanud teisest Elementor Pro turvaaugust, mis parandati Pro versioonis 4.2.2. Praegune viga on tasuta pluginas. Ja 4.3.2 muudatuste kirjeldus ei hoiata kuigi selgelt - lähim rida on üsna üldine „Improved code security enforcement in data handling”.
Mida praegu klõpsata?
- Ava Pluginad > Paigaldatud pluginad (Plugins > Installed Plugins) ja otsi tasuta „Elementor”. Kui näed versiooni 4.3.0 või 4.3.1, uuenda see kohe versioonile 4.3.2 või uuemale. Tee võimalusel enne kiire backup, aga ära lükka parandust selle pärast päevade kaupa edasi.
- Laadi pluginate vaade uuesti ja kontrolli, kas versiooninumber päriselt muutus. Nupu vajutamine ei tõesta, et update lõpuni jõudis. Kui kardad, et e-poe layout muutub, loe ka miks WordPressi uuendusi ei tohi edasi lükata, ning vaata pärast uuendust ostukorv ja olulisemad lehed üle.
- Mõtle samas vaates automaatsete uuenduste sisselülitamisele. Need võisid mõnele lehele 22. septembril 4.3.0 paigaldada, aga tuua kaks päeva hiljem ka paranduse. Enamiku väikeste lehtede puhul jätaksin need sisse, kui backup on olemas ja keegi pärast uuendusi lehte kontrollib.
- Mine Kasutajad > Kõik kasutajad (Users > All Users) ja vali filtri alt „Administraator” (Administrator). Loe kontod üle. Kas tunned iga nime ja meiliaadressi ära, ka need, mis lisati alates 22. septembrist? Tegevuslogist näeb, millal konto tekkis. Kui logi pole, saab majutaja phpMyAdminis vaadata tabeli
wp_usersväljauser_registered. - Ava Seaded > Üldine (Settings > General) ja kontrolli, kas halduri e-posti aadress on ikka sinu oma.
Leidsid tundmatu administraatori?
Ära seda esimese hooga kustuta. Tee kontost kuvatõmmis ning kirjuta üles kasutajanimi, meiliaadress ja kasutaja ID. Vaata tegevuslogist või küsi majutajalt logisid, millal konto tekkis ja mida sellega tehti. Siis kustuta konto. WordPress küsib, mis saab selle kasutaja sisust - määra see endale ja vaata pärast üle.
Muuda kõigi administraatorite paroolid ning kasuta iga admini profiilis valikut „Logi kõikjalt mujalt välja” (Log Out Everywhere Else). Vaata pluginad ja teemad üle, otsides uusi või võõraid lisandusi, ning tee pahavarakontroll. Kui konto paigaldas midagi, muutis faile või puudutas ostukorvi või makseseadeid, pole see enam lihtne koristustöö. Käsitle lehte häkituna ja küsi abi veebilehe puhastamiseks.
Parem harjumus järgmiseks kahtlaseks lingiks
Hoia haldustöö jaoks eraldi brauseriprofiili ja logi pärast töö lõpetamist välja. Igapäevasteks tegemisteks kasuta võimalusel väiksemate õigustega kontot, admini jäta päris haldustoiminguteks. Ka tegevuslogi aitab: kuupäevad on paremad kui tagantjärele arvamine.
Leheehitajad muutuvad kiiresti ja keegi peab uuendustel silma peal hoidma. Eriti siis, kui turvaparandus on peidetud muudatuste loendis rea taha, mis ütleb sulle üsna vähe. Praegu alusta kõige lihtsamast - vaata tasuta Elementori plugina kõrval olevat versiooninumbrit.