Хиляди WordPress сайтове в момента са под атака заради масова експлоатационна кампания, насочена към стари и критични уязвимости в плъгините GutenKit и Hunk Companion, които позволяват отдалечено изпълнение на код (RCE).

Компанията за киберсигурност Wordfence съобщи, че само за два дни – 8 и 9 октомври – е блокирала над 8.7 милиона опита за атака срещу клиенти, използващи уязвимите добавки.

Три критични уязвимости с CVSS 9.8

Атаките експлоатират три уязвимости, проследявани като:

• CVE-2024-9234 – неавтентифициран REST-endpoint пропуск в GutenKit (40 000 инсталации), който позволява инсталиране на произволни плъгини без нужда от удостоверяване.

• CVE-2024-9707 и CVE-2024-11972 – липса на контрол на достъпа в endpoint-а themehunk-import на Hunk Companion (8 000 инсталации), което също може да доведе до инсталиране на неоторизирани плъгини.

Чрез тези пропуски нападател може да инжектира зловреден плъгин, който осигурява пълен административен достъп и възможност за изпълнение на команди на сървъра.

Засегнати версии и корекции

• GutenKit 2.1.0 и по-стари

• Hunk Companion 1.8.4 и по-стари (CVE-2024-9707)

• Hunk Companion 1.8.5 и по-стари (CVE-2024-11972)

Проблемите са отстранени в:

• GutenKit 2.1.1 (октомври 2024 г.)

• Hunk Companion 1.9.0 (декември 2024 г.)

Въпреки че ъпдейтите са налични почти от година, много администратори продължават да използват уязвими версии, което позволява на атакуващите да ги компрометират с лекота.

Зловредни плъгини и постоянен достъп

Wordfence е засекла, че заплахите идват от злонамерен плъгин, качен в GitHub, под името “up.zip”. Архивът съдържа обфускирани скриптове, които позволяват:

• качване и изтриване на файлове,

• промяна на права за достъп,

• автоматичен вход като администратор (маскиран като компонент на All in One SEO).

Когато атакуващите не могат да осигурят постоянен достъп чрез основния бекдор, те инсталират уязвимия „wp-query-console“ плъгин, който може да бъде използван за неавтентифициран RCE.

Индикатори за компрометиране

Администраторите трябва да проверят логовете за следните заявки:

• /wp-json/gutenkit/v1/install-active-plugin

• /wp-json/hc/v1/themehunk-import

Също така е важно да се огледат директорите:
/up, /background-image-cropper, /ultra-seo-processor-wp, /oke, и /wp-query-console за неоторизирани файлове.

Препоръки

Wordfence призовава всички администратори на WordPress:

• да обновят всички плъгини до последните версии,

• да прегледат логовете за подозрителни активности,

• да премахнат неочаквани или неизвестни добавки,

• да ограничат достъпа до REST API, ако не се използва активно.