Η κοινότητα του WordPress κρούει ξανά τον κώδωνα του κινδύνου επειδή Δύο ευπάθειες σε ευρέως χρησιμοποιούμενα πρόσθετα (plugins) το οποίο θα μπορούσε να θέσει σε κίνδυνο την ασφάλεια χιλιάδων ιστότοπων. Μία από τις ευπάθειες επηρεάζει το πρόσθετο Anti-Malware Security και Brute-Force Firewall, ενώ η άλλη, το δημοφιλές πακέτο King Addons για το Elementor.
Και στις δύο περιπτώσεις, Οι ενημερώσεις είναι πλέον διαθέσιμες. Και οι ειδικοί συνιστούν την εγκατάστασή τους χωρίς καθυστέρηση. Ο αντίκτυπος ποικίλλει ανάλογα με το plugin, αλλά έχουν έναν κοινό παρονομαστή: οι εισβολείς θα μπορούσαν να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε πόρους διακομιστή ή αναλάβετε τον έλεγχο του ιστότοπου εάν τα έμπλαστρα δεν έχουν εφαρμοστεί.
Ασφάλεια κατά του κακόβουλου λογισμικού και τείχος προστασίας Brute-Force: Ανάγνωση αρχείων (CVE-2025-11705)
Το πρόσθετο ασφαλείας Anti-Malware, με πάνω από 100.000 εγκαταστάσεις, πάσχει από ένα κενό ασφαλείας που παρακολουθείται ως CVE‑2025‑11705 το οποίο επιτρέπει σε έναν χρήστη με έλεγχο ταυτότητας, ακόμη και με προφίλ συνδρομητή, να διαβάζει αρχεία από τον διακομιστή. Η ρίζα του προβλήματος βρίσκεται στην εσωτερική λειτουργία GOTMLS_ajax_scan()όπου υπήρχε έλλειψη επαρκούς επαλήθευσης δυνατοτήτων κατά την επεξεργασία αιτημάτων AJAX.
Η ευπάθεια εντοπίστηκε από τον ερευνητή. Ντμίτρι Ιγκνάτιεφ και αναφέρθηκε στην Wordfence Threat Intelligence. Λόγω της διαχείρισης διακριτικών (nonce), το έλλειψη ελέγχου αδειώνΟποιοσδήποτε λογαριασμός με έγκυρα στοιχεία σύνδεσης θα μπορούσε να ενεργοποιήσει τη σάρωση και να αποκτήσει πρόσβαση σε ευαίσθητο περιεχόμενο.
Ανάμεσα στους πιο δελεαστικούς στόχους είναι wp-config.phpΑυτό το αρχείο αποθηκεύει διαπιστευτήρια βάσης δεδομένων και κλειδιά ελέγχου ταυτότητας. Με αυτές τις πληροφορίες, ένας εισβολέας θα μπορούσε να προχωρήσει σε ενέργειες όπως διείσδυση δεδομένων, χειραγώγηση περιεχομένου ή να επιχειρήσουν νέες κινήσεις εντός της ίδιας υποδομής.
Ο προγραμματιστής πρόσθετων (plugins), γνωστός ως Eli, κυκλοφόρησε τη διορθωμένη έκδοση 4.23.83, η οποία προσθέτει τη συνάρτηση GOTMLS_kill_invalid_user() για την επαλήθευση των δυνατοτήτων πριν από την επεξεργασία των αιτημάτων. Το Wordfence ανέφερε ότι, προς το παρόν, Δεν έχουν παρατηρηθεί ενεργές επιθέσειςΩστόσο, η δημοσίευση της απόφασης αυξάνει τον κίνδυνο εκμετάλλευσης εάν δεν επικαιροποιηθεί.
- Οκτώβριος 14: ειδοποίηση προς τον προγραμματιστή μέσω της ομάδας ασφαλείας του WordPress.org.
- Οκτώβριος 15: Κυκλοφορία της έκδοσης 4.23.83 με βελτιωμένα στοιχεία ελέγχου χωρητικότητας.
- Λήψεις ενημερώσεων κώδικα: Έχουν ενημερωθεί περίπου 50.000 εγκαταστάσεις. Ένας παρόμοιος όγκος θα μπορούσε να παραμείνει εκτεθειμένος εάν δεν εφαρμοστεί η επιδιόρθωση.
Ο φορέας επίθεσης είναι ιδιαίτερα σημαντικός σε τοποθεσίες με εγγραφή χρήστη ανοιχτή (φόρουμ, συνδρομές, ενημερωτικά δελτία κ.λπ.), όπου το εμπόδιο εισόδου για τη δημιουργία λογαριασμών με ελάχιστα δικαιώματα είναι πολύ χαμηλό.
Πρόσθετα King για Elementor: Μεταφορτώσεις αρχείων και κλιμάκωση δικαιωμάτων
Το εμπορικό πρόσθετο Βασιλιάς Addons —το οποίο επεκτείνει το Elementor με γραφικά στοιχεία και πρότυπα— παρουσιάζει δύο κρίσιμα ελαττώματα που τεκμηριώνονται από το Patchstack: αυθαίρετη φόρτωση αρχείων χωρίς έλεγχο ταυτότητας (CVE‑2025‑6327(σοβαρότητα 10/10) και κλιμάκωση των προνομίων μέσω του τελικό σημείο καταχώρισης (CVE‑2025‑6325, σοβαρότητα 9,8/10).
Σύμφωνα με την ανακοίνωση, και τα δύο τρωτά σημεία είναι εύκολα εκμεταλλεύσιμο σε κοινές διαμορφώσεις και μπορεί να οδηγήσει σε πλήρη κατάληψη ιστότοπου ή κλοπή δεδομένων. Ο κατασκευαστής δημοσίευσε την έκδοση 51.1.37, το οποίο εισάγει μια λίστα επιτρεπόμενων ρόλων, εξυγίανση εισόδου και έναν διαχειριστή φορτίου που απαιτεί κατάλληλα δικαιώματα και αυστηρά έγκυρο ο τύπος αρχείου.
Με πάνω από 10.000 ενεργές εγκαταστάσεις, το King Addons χρησιμοποιείται για την επιτάχυνση του σχεδιασμού σελίδων. Αυτός ακριβώς είναι ο λόγος, εφαρμόστε το έμπλαστρο το συντομότερο δυνατό Είναι το κλειδί για την αποτροπή κακόβουλων παραγόντων από το να ανεβάζουν επικίνδυνα αρχεία ή να κλιμακώνουν προνόμια σε λογαριασμούς με περισσότερα δικαιώματα από όσα θα έπρεπε.
Τι μπορεί να πετύχει ένας εισβολέας αν δεν κάνετε ενημέρωση;
Με τα περιγραφόμενα ελαττώματα, ένας αντίπαλος θα μπορούσε να συνδέσει αλυσιδωτά βήματα που κυμαίνονται από το σιωπηλή ανάγνωση πληροφοριών έως και την ανάληψη του ελέγχου του ιστότοπου. Η πρόσβαση σε διαμορφώσεις, βάσεις δεδομένων ή καταλόγους που έχουν ανεβάσει οι χρήστες ανοίγει μια σειρά από δυνατότητες.
- Κλοπή hashes κωδικών πρόσβασης και να εξαπολύσετε επιθέσεις ωμής βίας εκτός σύνδεσης.
- Εξαγωγή προσωπικών δεδομένων (email, προφίλ) με πιθανές επιπτώσεις στην ιδιωτικότητα.
- Τροποποίηση εισόδων ή εισαγωγή κώδικα για τη διανομή ανεπιθύμητου περιεχομένου ή κακόβουλου λογισμικού.
- Εγκατάσταση πίσω θυρών να επιμένει ακόμα και μετά από μερικούς καθαρισμούς.
- Πλευρική κίνηση σε κοινόχρηστη φιλοξενία σε άλλους ιστότοπους στον ίδιο διακομιστή.
Επιπτώσεις και υποχρεώσεις στην Ισπανία και την υπόλοιπη ΕΕ
Για τους διαχειριστές που εδρεύουν στην Ισπανία ή την Ευρωπαϊκή Ένωση, μια παραβίαση προσωπικών δεδομένων μπορεί να ενεργοποιήσει υποχρεώσεις βάσει του RGPD, συμπεριλαμβανομένης της εκτίμησης επιπτώσεων και, όπου ενδείκνυται, των ειδοποιήσεων προς τις αρχές και τους χρήστες. Οι εσωτερικές πολιτικές θα πρέπει να επανεξετάζονται και αρχεία καταγραφής δραστηριοτήτων Εάν υπάρχει υποψία μη εξουσιοδοτημένης πρόσβασης και επιβεβαιώστε εάν ο ιστότοπός σας είναι WordPress.org ή WordPress.com.
Χωρίς να είμαστε δραματικοί αλλά με σύνεση, είναι λογικό να ιεραρχούμε τοποθεσίες με εγγραφή λογαριασμού ή ιδιωτικές περιοχές, καθώς η απαίτηση ελέγχου ταυτότητας στην αποτυχία του Anti-Malware ικανοποιείται με πολύ βασικά προφίλ σε πολλές πύλες.
Προτεινόμενες ενέργειες για διαχειριστές
Πρωτα απο ολα ενημερώνει το Anti-Malware στην έκδοση 4.23.83 και King Addons στο 51.1.37. Αυτό το βήμα αποκόπτει γνωστά διανύσματα στη ρίζα και μειώνει αμέσως την επιφάνεια επίθεσης.
- Ανακαλεί συνεδρίες και tokens μετά την ενημέρωση κώδικα, ειδικά σε ιστότοπους με ανοιχτή εγγραφή.
- Ανασκόπηση αρχείων καταγραφής πρόσβασης και μεταφορτώσεων αρχείων σε αναζήτηση ασυνήθιστης δραστηριότητας.
- Αυστηροποιεί τις άδειες των χρηστών και απενεργοποιεί την εγγραφή εάν δεν είναι απαραίτητη.
- Περιορίζει την εκτέλεση σε καταλόγους μεταφόρτωσης και επικυρώστε τους τύπους MIME στον διακομιστή.
- Δημιουργία αντιγράφων ασφαλείας επαληθευμένο και ενημερωμένο σχέδιο αντιμετώπισης περιστατικών.
Επιπλέον, αξιολογεί λύσεις παρακολούθησης (WAF, λίστες αποκλεισμού, ειδοποιήσεις σε πραγματικό χρόνο) και πολιτικές για ελάχιστο προνόμιο για διοικητικούς λογαριασμούς και εξωτερικές υπηρεσίες.
Η ακίνητη εικόνα είναι καθαρή: με διαθέσιμα patch, Η καλύτερη άμυνα είναι να κάνετε ενημέρωση τώραΗ επιμελής δράση, ο έλεγχος των αρχείων και η ενίσχυση των ελέγχων μπορούν να κάνουν τη διαφορά μεταξύ ενός τρόμου και ενός πιο σοβαρού περιστατικού.
