Уязвимость обнаружена в плагине WordPress. Плагин ускоритель мобильных страниц (AMP), ускоряет рендеринг веб-сайтов на мобильных устройствах. Хотя плагин был удален из официальных репозиториев WordPress, он был ранее загружен более 100 000. раз.
Администраторы веб-сайтов, работающие на самой популярной системе управления контентом (CMS), которые хотели установить плагин через панель администратора WordPress, увидели сообщение «Плагин был удален и не может быть загружен».
Причиной удаления плагина стало обнаружение ошибки, которая позволяла хакерам устанавливать бэкдоры на веб-сайты работающие на WordPress, вредоносный код мог создавать и настраивать учетные записи пользователей с правами администратора.
В блоге авторов плагина есть сообщение о том, что оно было временно изъято из официальных репозиториев и через несколько дней после удаления ошибок безопасности оно появится снова. Авторы не раскрывали подробности об этой уязвимости, они только говорили, что ее можно использовать для взлома сайта и менять роли пользователей не являющимися администраторами. В настоящее время исправленная версия плагина, отмеченная цифрой 0.9.97.20, уже доступна.
Информация, опубликованная авторами плагина, удивительна, возможно, нацелена на то, чтобы успокоить пользователей, что до тех пор, пока патч не будет выпущен, и плагин все равно может быть использован.
Авторы Wordfence - популярного брандмауэра и антивирусного сканера, посвященного WordPress - подтвердили, что уязвимость активно использовалась преступниками для атаки межсайтовых скриптов, которая заключается в том, чтобы внедрить вредоносный код сценария, выполняемый веб-браузером, в содержимое страницы. В результате преступники могут создавать своих собственных пользователей с правами администратора в целевом WordPress, чаще всего назначается имя «supportuuser» (может, конечно, быть изменено на другое).
В настоящее время WordPress является самой популярной CMS. Для него доступны тысячи плагинов, которые, к сожалению, могут содержать уязвимости. По обоим причинам WordPress стал одной из самых привлекательных целей для хакеров. Поэтому следует помнить о постоянной необходимости обновлять как сам WordPress, так и используемые плагины. Рекомендуется, когда это возможно, включать автоматические обновления.