Ataki na WordPress przez lukę w WooCommerce

Krytyczna luka w popularnym dodatku WordPressa

Administratorzy stron opartych na WordPressie muszą pilnie sprawdzić swoje instalacje. W dodatku WooCommerce Wholesale Lead Capture wykryto krytyczną podatność, która pozwala niezalogowanemu atakującemu wgrywać dowolne pliki na serwer, w tym PHP web shell. W praktyce oznacza to możliwość uruchomienia własnego kodu i pełnego przejęcia witryny.

Luka jest oznaczona jako CVE-2026-27540 i otrzymała ocenę CVSS 9,8. Dotyczy wersji 2.0.3.1 i starszych.

Jak działa atak

Problem wynika z braku odpowiedniej walidacji typu pliku w akcji AJAX o nazwie wwlc_file_upload_handler. To właśnie ten mechanizm pozwala napastnikowi podsunąć zmodyfikowane dane i obejść kontrolę rozszerzeń. Efekt jest prosty: można wgrać plik o nazwie podobnej do shell.php, a następnie uruchomić go z poziomu przeglądarki.

Taki plik zwykle działa jak web shell, czyli panel do wykonywania poleceń na zainfekowanym serwerze. W obserwowanych kampaniach używano go do pobierania informacji o systemie i dokładania kolejnych złośliwych plików.

Ataki już trwają

Sytuacja jest poważna, bo podatność jest aktywnie wykorzystywana. Od czerwca 2026 roku zablokowano już ponad 100 tysięcy prób ataku, a w samych ostatnich 24 godzinach odnotowano kolejne dziesiątki incydentów. Wśród źródeł ruchu pojawiały się m.in. adresy IP:

• 92.241.13.213
• 31.59.129.150
• 2a0f:85c1:840:5389::1
• 92.241.13.140
• 23.137.105.214
• 23.180.120.140
• 104.194.9.138
• 187.75.114.36
• 114.10.43.203
• 37.114.144.209

W praktyce oznacza to zautomatyzowane kampanie skanujące Internet w poszukiwaniu niezaktualizowanych witryn.

Co powinni zrobić administratorzy

Najważniejszy krok to aktualizacja do wersji 2.0.3.2 lub nowszej. Jeśli nie da się tego zrobić od razu, rozsądne będzie tymczasowe wyłączenie albo usunięcie wtyczki.

Warto też:

• sprawdzić katalogi z plikami pod kątem podejrzanych lub świeżo utworzonych plików .php,
• szczególnie przejrzeć wp-content/uploads,
• analizować logi pod kątem żądań do /wp-admin/admin-ajax.php z parametrem action=wwlc_file_upload_handler,
• zwrócić uwagę na nietypowe odpowiedzi serwera i powtarzalne żądania z tych samych adresów.

Jeśli są oznaki kompromitacji, samo usunięcie jednego pliku może nie wystarczyć. Trzeba sprawdzić, czy nie pojawiły się nowe konta administratorów, zmienić hasła i w razie potrzeby odtworzyć stronę z zweryfikowanej kopii zapasowej.

Kolejne zagrożenie: The Events Calendar

To nie jedyny problem dla ekosystemu WordPressa. Opisano też dwie krytyczne luki w dodatku The Events Calendar, zainstalowanym na ponad 600 tysiącach witryn.

Tu warunki skutecznego ataku są bardziej specyficzne: podatna strona musi mieć włączone komentarze do wydarzeń, a opcja Show comments on event pages musi być aktywna. Wtedy atak może prowadzić do zdalnego wykonania kodu bez uwierzytelnienia.

Wskazane podatności to:

• CVE-2026-78159 – problem w funkcji parse_array, związany z niewystarczającą walidacją mapy classes w widżecie; dotyczy wersji 6.17.3 i starszych,
• CVE-2026-78006 – błąd w is_safe_widget_instance, który pozwala ominąć zabezpieczenia i także prowadzić do zdalnego wykonania kodu; dotyczy wersji 6.17.4 i starszych.

Według opisu obie ścieżki ataku mogą zakończyć się pełnym przejęciem witryny, kradzieżą danych i instalacją dodatkowego malware. Producent załatał problem w wersjach 6.17.3.1 oraz 6.17.4.1.

Dlaczego to ważne

W obu przypadkach zagrożenie wynika nie z samego WordPressa, lecz z wtyczek instalowanych przez administratorów. To przypomnienie, że nawet dobrze utrzymana strona może zostać przejęta przez jeden nieaktualny komponent. W świecie WordPressa regularne aktualizacje i kontrola dodatków są dziś równie ważne jak mocne hasła i ochrona panelu logowania.