Cyberprzestępcy wykorzystują krytyczną lukę umożliwiającą atak zdalny w popularnej wtyczce Post SMTP dla WordPressa, używanej przez ponad 400 000 witryn do dostarczania i rejestrowania wiadomości e-mail.
Luka, odkryta w ramach programu bug bounty Wordfence i oznaczona jako CVE-2025-11833 (CVSS 9.8), pozwala nieuwierzytelnionym atakującym zresetować hasło dowolnego użytkownika — w tym administratorów witryny. Po jej wykorzystaniu atakujący może przejąć pełną kontrolę nad witryną, wgrać backdoory lub zmienić jej wygląd (defacement).
„Ta luka umożliwia nieuwierzytelnionym cyberprzestępcom łatwe przejmowanie witryn poprzez zresetowanie hasła dowolnego użytkownika” — powiedział badacz Wordfence, István Márton.
Oś czasu
- 11 października: Luka zgłoszona za pośrednictwem programu bounty Wordfence
- 29 października: Wydano poprawkę — wersja 3.6.1
- 1 listopada: Zaobserwowano aktywne wykorzystywanie luki (zablokowano ponad 4500 ataków)
Luka wynika z braku kontroli uprawnień w funkcji __construct wtyczki, co pozwala atakującym uzyskać dostęp do zapisanych w logach wiadomości e-mail i je odczytać — w tym wiadomości z resetem hasła. Po wyodrębnieniu klucza resetującego atakujący mogą zmienić dane logowania administratora i przejąć całą witrynę.
Aktywne kampanie
Wordfence zaobserwował już zautomatyzowane ataki wymierzone w podatne witryny i przewiduje kampanię na dużą skalę w nadchodzących dniach. Przejęte witryny mogą służyć do hostowania stron phishingowych, wstrzykiwania złośliwych skryptów lub dystrybucji złośliwego oprogramowania.
Zalecenia
✅ Zaktualizuj Post SMTP do wersji 3.6.1 natychmiast
✅ Włącz i monitoruj Wordfence lub inne zabezpieczenia WAF
✅ Sprawdź konta administratorów i redaktorów pod kątem nieautoryzowanych zmian
✅ Przeskanuj witrynę pod kątem złośliwych plików wgranych na serwer lub zmodyfikowanych plików PHP
Dlaczego to ważne
Wtyczki WordPressa pozostają głównym wektorem ataku ze względu na dużą bazę instalacji i niespójne wdrażanie poprawek. Ta luka pokazuje, jak jedna podatność w często używanej wtyczce może narazić tysiące witryn na przejęcie.
Alcaeus Services zaleca wdrożenie zautomatyzowanego zarządzania poprawkami, ochrony WAF oraz polityk rotacji poświadczeń we wszystkich środowiskach WordPress.
