Ninja Forms ja WPC Product Bundles: kontrolli tagauksi

Tellimus tuleb sisse. Avad selle WordPressis ja kõik paistab tavaline. Aga tellimusse peidetud skript kasutab samal hetkel sinu sisselogitud administraatori kontot, et paigaldada lehele tagauks.

Selline rünnak on tabanud WPC Product Bundles for WooCommerce’i kasutavaid lehti alates 4. oktoobrist 2026. 5. oktoobril hakkasid ründajad kasutama ka eraldi viga Ninja Formsis. Patchstack kirjeldas rünnakut 6. oktoobril ja sellest kirjutas ka BleepingComputer. Patchstacki sõnul on juhtumeid seni vähe, aga kui kasutad kumbagi pluginat, ära oota kliendi kaebust.

Kuidas vormivastusest või tellimusest saab administraatori mure?

Tegu on kahe eri plugina salvestatud XSS-veaga. Ründaja ei pea kummagi kasutamiseks kontot looma. Ninja Formsi puhul saadab ta tavalise vormivastuse, mille tekstikastis on pahatahtlik tekst. WPC Product Bundlesi puhul saadab ta muudetud koguse väärtuse, mis salvestatakse WooCommerce’i tellimuse andmetesse.

Skript käivitub hiljem, kui sisselogitud administraator selle vastuse või tellimuse avab. See laaditakse aadressilt https://imgcdn1.com/fz/x.js. Küpsiseid see ei varasta: skript töötab sinu olemasolevas administraatori sessioonis, kogub WordPressi turvatokenid ehk nonce’id ja kasutab WordPressi enda pluginate paigaldajat. Domeen registreeriti 1. oktoobril, pärast seda, kui mõlemad vead olid 22. septembril avalikuks saanud.

Võltsplugin kannab nime WP Smart Thumbnails, selle versioon on 1.2.4 ja autoriks on märgitud MediaPress Labs. Kaust on wp-content/plugins/wp-smart-thumbnails/. WordPressi laadimisel ei tee plugin midagi nähtavat, nii et e-pood voib täiesti korras välja näha. Selle põhjal ei saa turvalisust hinnata.

Neli teed, mida mööda ründaja tagasi pääseb

Siin ei piisa ühe kahtlase plugina kustutamisest. Rünnak jätab mitu eri sissepääsu:

Nähtav administraator. Skript loob tavalise WordPressi kasutajate vaate kaudu uue konto. Sisselogimisandmed tulevad ründaja serverist.
Peidetud administraator. Kasutajanimi võib olla näiteks support või backup, e-posti aadress lõpeb @wordpress.org. Must-use plugin nimega class-wp-query-<8 hex chars>.php peidab konto kasutajate vaatest, administraatorite filtrist ja kasutajate arvust.
Salajane sisselogimine. Teine must-use plugin, class-wp-token-validate.php, võtab vastu aadressi kujul /wp-login.php?_wplogin=<token>. See logib ründaja sisse vanima olemasoleva administraatorina - sageli lehe omanikuna. Tokenid on salvestatud kirjes fz_emer_login_tokens.
Paroolita failihaldur. Otsene päring failile wp-smart-thumbnails.php avab failihalduri, millega saab faile üles laadida, muuta ja kustutada. Selle pealkirjas on tekst Moon, tell me if I could.

Must-use pluginad laaditakse iga päringuga ja neid ei saa wp-adminis välja lülitada. Tavalisel pluginate lehel neid pole; võid neid näha Must-Use jaotises. Kui kustutad ainult võltsplugina kausta, jäävad need failid alles. Just nii võib esmapilgul õnnestunud puhastus lõppeda uue nakkusega. Sellest räägib pikemalt lugu miks leht pärast puhastust uuesti nakatub.

1. samm: uuenda mõlemad pluginad

Uuenda Ninja Forms viimasele versioonile, mis on praegu 3.15.5. Parandus algab versioonist 3.15.4; mõjutatud on versioonid kuni 3.15.3. WPC Product Bundlesi viimane versioon on praegu 8.7.4. Seal algab parandus versioonist 8.6.7 ja mõjutatud on versioonid kuni 8.6.6.

Tee see kõigepealt ära, et uusi pahatahtlikke vastuseid ei saaks nende vigade kaudu kasutada. Aga ära siin peatu. Update ei eemalda juba paigaldatud tagauksi. Patchstacki hinnangul võib sama ründeskript kohale jõuda ka teiste pluginate kaudu, kui neis on sarnane salvestatud skripti viga.

2. samm: kontrolli, kas rünnak on juba toimunud

Vajad ligipääsu majutuse failidele ning andmebaasi kontrollimiseks phpMyAdmini või oma lehe haldaja abi. Võta rahulikult ja kontrolli järjest. WordPressi töölaualt üksi tervet pilti ei näe.

Otsi kausta wp-content/plugins/wp-smart-thumbnails/. Teadaolevad failid seal on wp-smart-thumbnails.php, emer-run.php, readme.txt ja includes/class-thumb-cache.php.
Vaata kausta wp-content/mu-plugins/. Otsi faile class-wp-query-*.php ja class-wp-token-validate.php. Ära usalda failide kuupäevi: võltsplugina failidele pandi tagantjärele juuli 2026 kuupäev ning must-use failidele vana ajatempel WordPressi juurkaustast.
Võrdle wp-adminis nähtavaid administraatoreid phpMyAdmini kaudu andmebaasis olevate kasutajate ja administraatori rollidega. Otsi ootamatuid @wordpress.org aadresse. Ka wp user list --role=administrator annab ühe kontrolli, kuid peitev plugin võib selle tulemust mõjutada. Otse andmebaasist kontrollimine on kindlam.
Otsi WordPressi seadete kirjetest fz_emer_done_v1 ja fz_emer_login_tokens. Kui serveri- või turvalogid on olemas, otsi sealt imgcdn1.com, päringuid tekstiga _wplogin ning otseseid pöördumisi faili wp-smart-thumbnails.php poole.
Kontrolli hiljutisi Ninja Formsi vastuseid ja WooCommerce’i tellimusi skriptisiltide suhtes. Tee seda andmebaasis või uuenda plugin enne, kui avad vastuseid vanas redaktoris. Mürgitatud kirje vaatamine võib rünnaku käivittada.

Ära toetu ka ühele kindlale faili räsi väärtusele. Ründaja muudab koodi peitmise viisi iga lehe jaoks. Pahavara skanner aitab kahtlasi faile leida, aga ei asenda neid kontrolle.

Kui leiad tagaukse, puhasta kogu ahel

Tee esmalt failidest ja andmebaasist tõendusmaterjali jaoks varu koopia. Seejärel eemalda kaust wp-smart-thumbnails/ ja mõlemad pahatahtlikud must-use plugina failid. Kustuta kaks fz_emer_ seadet ning ründaja loodud administraatorikontod, kaasa arvatud andmebaasist leitud peidetud konto. Enne kustutamist kontrolli iga kontot eraldi.

Muuda vanima administraatori ja kõigi teiste administraatorite paroolid. Uuenda failis wp-config.php WordPressi salts-väärtused, et kõik välja logida. Kuna paroolita failihaldur võis kirjutada faile ka mujale, otsi teisi lisatud faile ja skanni lehte. Eemalda ka mürgitatud vormivastused või tellimuse andmed, et keegi uurimise ajal skripti uuesti ei käivitaks. Tõendusmaterjali koopia jäta alles.

Kui sa ei tea, millised failid või kasutajad on päriselt sinu omad, ära kustuta huupi. Küsi abi häkitud veebilehe puhastamiseks. Kui tahad enne otsustamist teisi ohumärke võrrelda, vaata ka artiklit viis märki, et WordPress võib olla häkkerite käes.

Üks kontroll, mille saad täna ära teha

Pluginad on juba uuendatud? Ava majutuse failihaldur ja mine kausta wp-content/mu-plugins/. Kui seal on kumbki eespool nimetatud fail, ei tähenda roheline teade „pluginad uuendatud”, et leht oleks puhas. See kaust on praegu parem koht kontrolli alustamiseks kui poe avaleht.

Ninja Formsi ja WPC Product Bundlesi rünnakud: kontrolli, kas WordPressis on peidetud tagauks