פרצה בתוסף All-in-One WP Migration חושפת 5 מיליון אתרי WordPress להשתלטות

חברת האבטחה Wordfence חשפה ב-1 בספטמבר חולשה חמורה בתוסף All-in-One WP Migration and Backup. התוסף מותקן ביותר מ-5 מיליון אתרי WordPress. החולשה מאפשרת לתוקף בלי שם משתמש וסיסמה להשתלט על האתר כולו.

היא קיבלה את המזהה CVE-2026-19949 ודירוג חומרה 8.8 מתוך 10. היא פוגעת בכל הגרסאות עד 7.109, והמפתחת ServMask הוציאה תיקון בגרסה 7.110 ב-20 באוגוסט.

איך All-in-One WP Migration מפעיל מטען בזמן שחזור גיבוי

זה מה שנקרא SQL Injection מסדר שני. התוקף לא תוקף ישירות, אלא שותל קלט זדוני. הקלט מחכה במסד הנתונים. נקודת הכניסה היא trackbacks, מנגנון ותיק של WordPress שמאפשר לאתרים אחרים לדווח שקישרו לפוסט שלכם.

לפי Wordfence, התוקף מגיש שני trackbacks לפוסט ציבורי שמקבל אותם. בשם הבלוג יש לוכסן הפוך (backslash) בסוף, ובכתובת יש את המטען. WordPress מאחסן אותם בטבלת התגובות, ושם הם יושבים בשקט.

הרגע הקריטי מגיע כשמנהל האתר מייצא את האתר עם התוסף ואחר כך מייבא אותו. כלומר, הוא משחזר גיבוי או מעביר את האתר לשרת אחר. בזמן הייבוא התוסף מחליף כתובות וקידומות טבלאות בתוך פקודות ה-SQL. ביטוי רגולרי פגום מתבלבל בגלל הלוכסנים. התוצאה: טקסט שאמור להישאר מחרוזת תמימה הופך לפקודת SQL שרצה על מסד הנתונים.

הפקודה הזו שולפת את המפתח הסודי של התוסף, ai1wm_secret_key. היא רושמת אותו לתוך תגובה מאושרת שמופיעה בממשק ה-REST הציבורי של האתר. עם המפתח ביד, התוקף ניגש לפעולת הייבוא של התוסף. רק אותו מפתח מגן על הפעולה הזו. התוקף מעלה גיבוי מזויף בפורמט .wpress, ובתוכו מסתתר תוסף must-use. זה סוג של תוסף ש-WordPress מפעיל אוטומטית בכל טעינת עמוד. מכאן התוקף מריץ קוד על השרת ושולט באתר.

למה פרצת All-in-One WP Migration רלוונטית לסוכנויות ולבוני אתרים

Wordfence עצמה מדגישה שהחולשה דורשת פעולה של מנהל. היא דורשת ייצוא ואחריו ייבוא, אחרי שהתוקף שתל את המטען. אבל בתוסף שכל ייעודו הוא גיבוי והעברת אתרים, זו פעולה שגרתית לגמרי. סוכנויות ופרילנסרים שבונים אתר על שרת פיתוח ומעבירים אותו ללקוח עושים את זה כל הזמן. וכך גם מי שמחליף חברת אחסון.

החוקר Jack Taylor דיווח על החולשה ל-Wordfence ב-14 באוגוסט וקיבל פרס של 5,761 דולר. ServMask אישרה את הדיווח ב-17 באוגוסט ושחררה תיקון שלושה ימים אחר כך. לקוחות Wordfence בתשלום קיבלו כלל חסימה בחומת האש כבר ב-16 באוגוסט. משתמשי הגרסה החינמית מקבלים אותו רק ב-15 בספטמבר.

eSecurity Planet מצטט דיווח של BleepingComputer מ-2 בספטמבר. לפי הדיווח, כ-3.25 מיליון אתרים עדיין הריצו באותו זמן גרסה פגיעה. נכון לתחילת ספטמבר, אף אחד מהמקורות הרשמיים לא דיווח על ניצול בפועל. אבל השרשרת מתועדת לפרטים. השלב הראשון שלה הוא שתילת ה-trackbacks, והוא אפשרי בכל אתר שלא עודכן ועדיין מקבל אותם.

עוד ב-GEEKLIK: Click2Shell: קישור אחד למנהל אתר WordPress הספיק כדי להתקין תבנית ולהריץ קוד

מה הלאה

הפרטים הטכניים המלאים כבר פומביים. זה בדרך כלל השלב שבו תוקפים מתחילים לסרוק אתרים לא מעודכנים. מספר האתרים שעדיין לא עודכנו בתחילת ספטמבר מראה עד כמה עדכוני תוספים נשארים מאחור. זה נכון במיוחד לאתרים שנבנו ונמסרו ללקוח. מאז אף אחד לא נכנס ללוח הבקרה שלהם.