Тег
263 материала · RSS
Агентство по кибербезопасности и защите инфраструктуры США (CISA) предупредило, что злоумышленники атакуют уязвимость CVE-2026-119977 в ядре WordPress. Баг позволяет выполнить код без аутентификации во время обновления движка, и специалисты Wordfence…
Впервые за десять лет найден путь прямого взлома WordPress без плагинов. Владельцы сайтов трясутся, команда WP строчит патчи, хакеры ищут новые векторы атаки. А мы спокойно и дотошно разбираемся, как…
Разработчики WordPress запускают автоматическую проверку безопасности, которая будет проводиться перед распространением каждого плагина. Перед развертыванием обновлений через API WordPress.org новые версии плагинов будут автоматически проверять на наличие уязвимостей и вредоносного…
В плагине All-in-One WP Migration and Backup для WordPress обнаружили уязвимость, связанную с SQL-инъекцией, которая позволяет удаленно выполнить код без аутентификации и полностью скомпрометировать сайт. По оценке специалистов, в настоящее…
Разработчики WordPress исправили серьезную отраженную XSS-уязвимость на странице авторизации, которая затрагивает все версии CMS и не требует аутентификации. Исследователи уже продемонстрировали, что в определенных условиях этот баг можно использовать для…
Хакеры начали эксплуатировать критическую проблему wp2shell в ядре WordPress. Атакующие сканируют интернет в поисках уязвимых сайтов, загружают на них вредоносные плагины и веб-шеллы, создают административные аккаунты и добиваются удаленного выполнения…
Злоумышленники атакуют уязвимость в WordPress-плагине Gravity SMTP, который установлен примерно на 100 000 сайтах. Проблема позволяет без аутентификации получить API-ключи, OAuth-токены, учетные данные почтовых сервисов и подробную информацию о конфигурации…
В рамках операции Endgame правоохранители очистили от малвари почти 15 000 взломанных WordPress-сайтов и отключили более сотни серверов, связанных с ботнетом SocGholish и группировкой Evil Corp.
Почти 2000 сайтов под управлением WordPress оказались заражены необычной малварью, которая использует комментарии в Steam Community в качестве управляющей инфраструктуры. Вредонос скрывает полезную нагрузку в невидимых Unicode-символах и получает команды…
В популярном плагине WP Maps Pro для WordPress обнаружили критическую уязвимость, которую злоумышленники уже начали эксплуатировать в реальных атаках. Баг позволяет без какой-либо аутентификации создать на сайте учетную запись администратора…
ИБ-специалисты обнаружили, что более 30 плагинов из пакета EssentialPlugin были скомпрометированы. Еще в 2025 году неизвестные злоумышленники внедрили в них бэкдор, который открывает несанкционированный доступ к сайтам под управлением WordPress.…
В плагине WPvivid Backup & Migration для WordPress обнаружили критическую уязвимость загрузки произвольных файлов, которая в итоге ведет к удаленному выполнению кода без аутентификации. Проблема угрожает более чем 900 000…
Всё как в фильме про хакеров: отправил одно сообщение и получил полноценный RCE. Уязвимость в W3 Total Cache шокирует не только простотой атаки, но и масштабами, ведь этот плагин для WordPress установлен на миллионы сайтов.
В популярном плагине для WordPress под названием Modular DS обнаружили критическую уязвимость, которую уже используют злоумышленники. Баг позволяет повысить привилегии без какой-либо аутентификации и затрагивает все версии плагина до 2.5.1…
В экосистеме WordPress постоянно находят новые уязвимости: от совсем простых до довольно сложных. У многих из них есть CVE, и многие исследователи тоже хотели бы когда‑нибудь увидеть свое имя в NVD. В этой статье я покажу, как поднять домашнюю…
В популярном плагине для WordPress W3 Total Cache обнаружена критическая уязвимость CVE-2025-9501, позволяющая выполнять произвольные PHP-команды на сервере без аутентификации. Для атаки достаточно оставить на уязвимом ресурсе комментарий с полезной…
Злоумышленники атакуют сайты под управлением WordPress, эксплуатируя критическую уязвимость в плагине Post SMTP, который начитывает более 400 000 установок. Хакеры захватывают аккаунты администраторов и получают полный контроль над уязвимыми ресурсами.
В плагине Anti-Malware Security and Brute-Force Firewall для WordPress обнаружили уязвимость, которая позволяет пользователям с минимальными привилегиями читать произвольные файлы на сервере. Плагин установлен более чем на 100 000 сайтах,…
Компания Wordfence предупреждает о масштабной вредоносной кампании, в рамках которой злоумышленники эксплуатируют критические уязвимости в популярных WordPress-плагинах GutenKit и Hunk Companion. Компания заблокировала 8,7 млн попыток таких атак на своих…
Сегодня разберем недавно найденный баг в WordPress и напишем собственный эксплоит на Python. Уязвимость содержится в copypress-rest-api, позволяет обходить запрет на скачивание плагина из каталога WP и добиваться возможности исполнения команд. Она получила номер CVE-2025-8625 и критический статус.
Эксперты «Лаборатории Касперского» зафиксировали волну атак с использованием трояна Efimer. Малварь распространяется через взломанные сайты на WordPress, торренты и электронную почту. Ее основная цель — кража и подмена криптокошельков, но…
Разработчики популярного блокировщика рекламы Pi-hole предупредили, что имена и email-адреса всех, кто жертвовал средства проекту, оказались в открытом доступе из-за бага в плагине GiveWP для WordPress.
Более 200 000 сайтов под управлением WordPress используют уязвимую версию плагина Post SMTP, которая позволяет захватить контроль над учетной записью администратора.
Популярный WordPress-плагин Gravity Forms пострадал в результате атаки на цепочку поставок. В результате установщики с официального сайта оказались заражены бэкдором.
В плагине Forminator для WordPress обнаружили уязвимость, связанную с неавторизованным удалением произвольных файлов, что может привести к полному захвату уязвимого сайта.
Злоумышленники эксплуатируют критическую уязвимость повышения привилегий в WordPress-теме Motors, которая позволяет взламывать учетные записи администраторов и полностью перехватывать контроль над целевым сайтом.
В свете юридического конфликта между холдингом Automattic и WP Engine, группа бывших разработчиков WordPress при поддержке Linux Foundation запустила FAIR Package Manager — независимую систему распространения доверенных плагинов и тем…
Аналитики Patchstack обнаружили критическую уязвимость в плагине TI WooCommerce Wishlist для WordPress. Проблема пока не устранена и может использоваться злоумышленниками для загрузки произвольных файлов.
Хакеры эксплуатируют критическую уязвимость повышения привилегий в плагине OttoKit (ранее SureTriggers) для WordPress для создания новых учетных записей администраторов на уязвимых сайтах.
В этом райтапе я покажу, как получить удаленное выполнение кода на сервере через уязвимость функции iconv в библиотеке GNU C Library (glibc). На пути к этой уязвимости проэксплуатируем LFI в плагине BuddyForms для WordPress и проанализируем код мобильного…
Эксперты компании Human обнаружили масштабную мошенническую кампанию Scallywag. С ее помощью пиратские сайты и ресурсы с короткими URL получают монетизацию, используя для этого специальные WordPress-плагины, генерирующие миллиарды мошеннических запросов в…
Хакеры атакуют уязвимость обхода аутентификации в плагине OttoKit (ранее SureTriggers) для WordPress. Первые атаки были зафиксированы всего несколько часов после обнародования информации о баге.
Аналитики Sucuri обнаружили, что хакеры используют директорию MU-plugins (Must-Use Plugins) в WordPress, чтобы скрывать вредоносный код и запускать его, избегая обнаружения.
В прошлом году ИБ-исследователи обнаружили 7966 новых уязвимостей в экосистеме WordPress, большинство из которых затрагивали плагины и темы, сообщили аналитики компании Patchstack, специализирующиеся на безопасности WordPress.
Уязвимость в плагине W3 Total Cache, который установлен на более чем миллионе сайтов под управлением WordPress, позволяет злоумышленникам получить доступ к различной информации, включая метаданные облачных приложений.
Обнаружена новая вредоносная кампания, жертвами которой уже стали более 5000 сайтов под управлением WordPress. Хакеры создают новые учетные записи администраторов, устанавливают на сайты вредоносные плагины и крадут данные.
Сразу в двух плагинах для WordPress, необходимых для работы премиум-темы WPLMS, которая насчитывает более 28 000 продаж, обнаружили более десятка уязвимостей, включая критические.
Злоумышленники уже атакуют критическую уязвимость в плагине Hunk Companion для WordPress, предупреждают специалисты. С помощью этой проблемы хакеры устанавливают на сайты другие уязвимые плагины, которые могут открыть им двери для…
В WordPress-плагине WPForms, который используют более 6 млн сайтов, нашли уязвимость, позволяющую пользователям осуществлять произвольные возвраты средств через Stripe или отменять подписки.
Сегодня я разберу уязвимость в LiteSpeed Cache — популярном плагине для ускорения работы сайтов. Плагин работает с движками WooCommerce, bbPress, ClassicPress и Yoast, на сегодня у него более пяти миллионов установок. Давай посмотрим, как генерация недостаточно качественных случайных…
