Зачем взламывать, если можно купить? Простейший способ получить ключи от 20 тысяч сайтов
Всего одна подпись в договоре способна обнулить любую защиту.
В экосистеме WordPress обнаружили скрытую угрозу, которая долгое время оставалась незамеченной. Десятки популярных плагинов, установленных на тысячах сайтов, оказались заражены встроенным бэкдором, способным незаметно внедрять вредоносный код.
Проблема вскрылась после смены владельца разработчика плагинов Essential Plugin. Основатель Anchor Hosting Остин Гиндер рассказал, что новые владельцы приобрели компанию ещё в прошлом году, а затем внедрили вредоносный механизм в исходный код продуктов. До недавнего времени бэкдор никак себя не проявлял, но в начале апреля активировался и начал распространять вредоносный код на сайты с установленными плагинами.
По данным самой Essential Plugin, решения компании были установлены свыше 4 000 000 раз, а клиентская база превышает 15 тысяч пользователей. При этом каталог WordPress показывает, что заражённые расширения присутствовали как минимум на 20 тысячах активных сайтов.
Плагины в WordPress дают владельцам сайтов гибкость и дополнительные функции, но вместе с тем получают доступ к системе. Такой доступ превращается в уязвимость, если код плагина изменяется злоумышленниками в корыстных целях. Гиндер обратил внимание на ещё одну проблему — пользователи платформы не получают уведомлений о смене владельца плагина, что создаёт риск скрытого захвата и последующих атак.
Ситуация оказалась не единичной. За последние недели специалисты выявили уже второй случай компрометации плагинов через смену владельца. Подобные атаки давно обсуждаются в индустрии: злоумышленники покупают популярные продукты и используют доверие пользователей для массового распространения вредоносного кода.
После обнаружения угрозы заражённые плагины удалили из официального каталога WordPress, а их статус изменили на «Закрыт навсегда». Тем не менее владельцам сайтов советуют самостоятельно проверить установленные расширения и удалить подозрительные компоненты. Список затронутых плагинов Гиндер опубликовал в своём блоге.
Представители Essential Plugin на запросы журналистов не ответили.