V vtičniku Everest Forms Pro za WordPress so raziskovalci kibernetske varnosti odkrili kritično ranljivost, ki jo hekerji že aktivno izkoriščajo za prevzem nadzora nad spletnimi mesti. Varnostna pomanjkljivost, identificirana kot CVE-2026-3300, predstavlja resno grožnjo za več deset tisoč WordPress instalacij po vsem svetu.
Everest Forms Pro je premium različica priljubljenega vtičnika za ustvarjanje kontaktnih obrazcev, ki ga uporablja več kot 300.000 WordPress spletnih mest. Ranljivost omogoča nepooblaščenim napadalcem, da pridobijo skrbniške pravice in popolnoma prevzamejo nadzor nad prizadetimi spletnimi mesti brez potrebe po avtentikaciji.
Tehnična analiza kaže, da gre za pomanjkljivost v funkciji za obdelavo podatkov, kjer vtičnik ne preverja ustrezno uporabniških vnosov. Napadalci lahko z natančno oblikovanimi HTTP zahtevki izkoristijo to šibkost in izvajajo poljubne operacije z najvišjimi privilegiji. Varnostni strokovnjaki opozarjajo, da je kompleksnost izvedbe napada relativno nizka, kar pomeni, da lahko ranljivost izkoristijo tudi manj izkušeni hekerji.
Razvijalci vtičnika so že izdali varnostno posodobitev, ki odpravlja CVE-2026-3300. Vse različice pred verzijo 2.0.7.3 so ranljive in bi jih bilo treba nemudoma nadgraditi. Uporabnikom, ki ne morejo takoj posodobiti vtičnika, svetujejo, da ga začasno deaktivirajo, dokler posodobitev ni mogoča.
Varnostni analitiki poročajo o aktivnih poskusih izkoriščanja že od začetka tedna, pri čemer napadalci najpogosteje namestijo backdoor skripte za trajen dostop ali preusmerijo obiskovalce na zlonamerne strani. Administratorji WordPress spletnih mest bi morali preveriti dnevniške datoteke za sumljive aktivnosti in nemudoma pregledati seznam uporabniških računov ter nameščenih vtičnikov.
Ta incident ponovno poudarja pomen rednega posodabljanja WordPress vtičnikov in aktivnega spremljanja varnostnih opozoril. Strokovnjaki priporočajo tudi uporabo dodatnih varnostnih plasti, kot so požarni zidovi za spletne aplikacije (WAF) in dvo-faktorsko avtentikacijo za vse skrbniške račune.
Vir: https://www.bleepingcomputer.com/news/security/critical-everest-forms-pro-flaw-exploited-to-take-over-wordpress-sites/
Originalna objava: 2026-06-06
Članek je pripravljen na osnovi tujega vira s pomočjo AI in prilagojen za slovenskega bralca.