Šta se desilo?

Napadači aktivno iskorišćavaju kritičnu ranjivost u WooCommerce Wholesale Lead Capture plaginu za WordPress, koja omogućava učitavanje proizvoljnih fajlova na server bez prethodne autentifikacije.

Ranjivost CVE-2026-27540 pogađa verzije 2.0.3.1 i starije i može omogućiti napadaču da na server postavi PHP web shell ili drugi zlonamerni fajl. Nakon toga napadač može izvršavati kod i potencijalno preuzeti kontrolu nad kompromitovanim WordPress sajtom.

Wordfence je 14. septembra 2026. objavio da je njegov firewall blokirao više od 100.000 pokušaja eksploatacije. To je broj blokiranih pokušaja, a ne broj kompromitovanih sajtova.

Koga pogađa?

Pogođeni su WordPress sajtovi koji koriste WooCommerce Wholesale Lead Capture verziju 2.0.3.1 ili stariju.

Pošto za iskorišćavanje ranjivosti nije potreban korisnički nalog, svaki ranjivi sajt dostupan sa interneta može biti meta automatizovanih napada.

Posebno su izložene online prodavnice koje koriste ovaj plagin za registraciju i upravljanje veleprodajnim korisnicima.

Kako se zaštititi?

  • Odmah ažurirajte WooCommerce Wholesale Lead Capture na verziju 2.0.3.2 ili noviju.
  • Proverite WordPress upload direktorijume i druge lokacije zbog neočekivanih ili nedavno kreiranih PHP fajlova.
  • Obratite posebnu pažnju na fajlove poput shell.php i druge fajlove koje ne prepoznajete.
  • Pregledajte web server logove i potražite sumnjive zahteve prema /wp-admin/admin-ajax.php povezane sa akcijom wwlc_file_upload_handler.
  • Proverite da li su kreirani nepoznati administratorski nalozi ili izvršene neočekivane izmene na sajtu.
  • Ako ne možete odmah da instalirate zakrpu, privremeno deaktivirajte plugin dok se ažuriranje ne izvrši.
  • Ako postoje znaci kompromitovanja, promenite administratorske lozinke i druge pristupne podatke tek nakon što uklonite zlonamerni pristup.

Tehnički detalji

CVE-2026-27540 ima CVSS 3.1 ocenu 9,0 prema CNA organizaciji Patchstack; Wordfence koristi sopstvenu ocenu 9,8. Reč je o kritičnoj ranjivosti koja omogućava neautentifikovano učitavanje proizvoljnih fajlova.

Problem se nalazi u AJAX akciji wwlc_file_upload_handler. Plugin proverava dozvoljene ekstenzije fajlova koristeći vrednosti iz parametra file_settings, ali napadač može da manipuliše tim parametrom i doda PHP među dozvoljene tipove fajlova.

Na taj način server prihvata i čuva zlonamerni PHP fajl koji napadač zatim može da pokrene preko web servera.

U aktivnim napadima primećeno je učitavanje fajla shell.php, koji napadaču prikazuje informacije o serveru i omogućava učitavanje dodatnih zlonamernih fajlova.

Ranjivost je ispravljena u verziji 2.0.3.2. Patchstack je upozorenje objavio 20. februara 2026; novije verzije donose i dodatna bezbednosna poboljšanja.

Zašto je važno?

Rizik se odnosi na sajtove koji koriste pogođeni dodatak, uključujući prodavnice u Srbiji i regionu; izveštaj ne potvrđuje broj lokalnih žrtava. Automatizovani napadi ne biraju mete prema veličini ili značaju sajta, već jednostavno traže ranjive instalacije dostupne sa interneta.

Uspešno iskorišćavanje ove ranjivosti može omogućiti napadaču da preuzme kontrolu nad sajtom, menja njegov sadržaj, postavlja dodatni malver ili koristi server za dalje napade.

Preporuka Sajber Radara

Ako koristite WooCommerce Wholesale Lead Capture, odmah proverite verziju i ažurirajte plugin na 2.0.3.2 ili noviju verziju.

Pošto je aktivna eksploatacija već potvrđena, samo instaliranje zakrpe nije dovoljno ako je sajt prethodno bio izložen. Pregledajte logove, upload direktorijume i administratorske naloge zbog mogućih znakova kompromitovanja.