Открита дългогодишна уязвимост в популярен redirect плъгин
Открит е сериозен случай на злонамерен код в плъгина Quick Page/Post Redirect, използван в над **70 000 сайта на WordPress, който е съдържал скрит backdoor механизъм в продължение на години.
Проблемът е идентифициран от изследовател след аларма от няколко компрометирани сайта в хостинг инфраструктура.
Какво представлява плъгинът
Quick Page/Post Redirect е прост utility плъгин за WordPress, използван за създаване на пренасочвания на страници, постове и URL адреси. Именно неговата популярност и лекота на употреба го правят подходяща цел за злоупотреба.
Как е внедрен backdoor-ът
Според анализа, версии 5.2.1 и 5.2.2 (от 2020–2021 г.) съдържат скрит механизъм за self-update, който сочи към външен домейн, различен от официалната инфраструктура на WordPress.
Този механизъм:
- позволява изпълнение на външен код
- заобикаля контрола на WordPress.org
- изтегля модифицирани версии на плъгина
По-късно, през 2021 г., версия 5.2.3 е разпространена от външен сървър с допълнително злонамерено съдържание.
Как работи скритият механизъм
Backdoor-ът е проектиран да се активира само при определени условия:
- задейства се при логнати и нелогнати потребители
- използва hook към
the_content - комуникира с външен сървър за зареждане на данни
Това поведение е използвано за SEO злоупотреби и манипулация на трафик чрез „паразитно“ съдържание.
Рискът за засегнатите сайтове
Най-сериозният проблем не е само текущият код, а механизмът за автоматични обновления, който:
- позволява дистанционно изпълнение на код
- остава активен дори след години
- може да бъде реактивиран при компрометирана инфраструктура
Домейнът, използван за контрол, вече не отговаря на команди, но самата инфраструктура на сайтовете остава уязвима.
Реакция и препоръки
Плъгинът е временно премахнат от официалния каталог на WordPress за преглед. Изследователите препоръчват:
- незабавно премахване на плъгина
- замяна с чиста версия (5.2.4, когато е налична)
- проверка за остатъчен зловреден код
Експертите подчертават, че най-големият риск е продължаващата възможност за скрити обновления чрез външни сървъри.
