פרצה קריטית ב-Elementor Pro: טופס עם שדה העלאת קבצים מאפשר להשתלט על האתר

יש לכם אתר וורדפרס עם Elementor Pro וטופס שמאפשר לגולשים לצרף קבצים? זה הזמן לבדוק את גרסת התוסף. חברת אבטחת הוורדפרס Patchstack פרסמה ב-19 באוגוסט חולשה קריטית במודול הטפסים של Elementor Pro. דרכה תוקף בלי שם משתמש וסיסמה יכול להעלות לשרת קבצי PHP ולהריץ באמצעותם קוד. החולשה, CVE-2026-32475, קיימת בכל הגרסאות עד 4.2.1. Elementor תיקנה אותה בגרסה 4.2.2, שיצאה באותו יום.

איך שדה העלאת הקבצים ב-Elementor Pro הופך לדלת אחורית

CVE הוא המספר המזהה הבינלאומי של חולשות אבטחה. Patchstack דירגה את החולשה הזו 9.0 מתוך 10. לפי הניתוח שלה, מודול הטפסים מטפל בקבצים של הגולש בשני שלבים. השלב הראשון בודק שסוג הקובץ מותר. השלב השני מעביר את הקבצים לתיקייה בשרת.

הבעיה היא ששני השלבים מתייחסים אחרת לרשומה ריקה. התוקף מצרף רשומה ריקה, ומיד אחריה סקריפט PHP. שלב הבדיקה עוצר כבר ברשומה הריקה ולא בודק את הסקריפט. שלב ההעברה, לעומת זאת, מדלג על הרשומה הריקה ומעביר את הסקריפט לשרת בכל זאת.

הסקריפט מגיע לתיקייה wp-content/uploads/elementor/forms/. המערכת קובעת את שמו לפי חותמת זמן, ולכן אפשר לנחש אותו בניסיונות חוזרים. לפי BleepingComputer, בחלק מההגדרות המייל האוטומטי של הטופס אף חושף את הכתובת המדויקת. מרגע שהתוקף יודע איפה הסקריפט, הוא פונה אליו בדפדפן והשרת מריץ את הקוד.

משם הדרך לשליטה מלאה באתר קצרה. התוקף יכול לגנוב פרטי גולשים ולקוחות, להזריק הפניות לאתרי פישינג או להוסיף משתמש מנהל.

את החולשה גילה החוקר Tin Pham, שדיווח עליה ל-Patchstack ב-16 ביולי. לפי לוח הזמנים של החברה, Elementor הכינה תיקון כבר למחרת. Patchstack אישרה אותו ב-3 באוגוסט. אבל Elementor שחררה את הגרסה המתוקנת רק ב-19 באוגוסט, מעל חודש אחרי הדיווח.

מי באמת חשוף? Elementor ו-Patchstack לא מסכימות

כאן יש פער שחשוב להכיר. לפי Patchstack, מספיק עמוד ציבורי אחד עם טופס Elementor שכולל שדה העלאת קבצים. החברה מכנה את התצורה הזו יומיומית לגמרי.

Elementor מציגה תמונה אחרת בהודעה ל-BleepingComputer. לטענתה, הסיכון קיים רק כשבשדה פעילה האפשרות להעלות כמה קבצים. האפשרות הזו כבויה כברירת מחדל, ולפי Elementor כל שאר האתרים לא בסכנה. ובכל זאת, גם Elementor ממליצה לכל האתרים לעדכן.

הפער הזה לא אמור לשנות את מה שאתם עושים. העדכון זמין וקל להתקנה. לעומת זאת, טעות בהערכה ״אצלי האפשרות כבויה״ עלולה לעלות באתר שלם.

וזה לא מקרה בודד. ב-18 באוגוסט סיקר Cyber Security News חולשה דומה בתוסף הטפסים Forminator (CVE-2026-15748). התוסף רץ במעל 600 אלף אתרים, והחולשה מאפשרת גם בו העלאת קבצי PHP בלי הזדהות. מפתחי התוסף תיקנו אותה בגרסה 1.56.2.

מה קרה מאז: תוקפים ניצלו את Elementor Pro מהיום הראשון

ב-3 בספטמבר דיווח BleepingComputer על ניסיונות ניצול של החולשה ב-Elementor Pro. לפי נתוני חברת האבטחה Wordfence, הניסיונות התחילו ב-19 באוגוסט, ביום שבו יצא התיקון. בין 19 ל-23 באוגוסט חסמה Wordfence מעל 190 אלף ניסיונות תקיפה. בסך הכל היא חסמה קרוב ל-200 אלף.

בניסיונות האלה התוקפים ניסו להעלות webshell. זהו סקריפט שמאפשר להריץ פקודות על השרת מרחוק. זה דפוס מוכר. ברגע שתיקון יוצא, תוקפים משווים בין הגרסאות ומבינים מה השתנה. מיד אחר כך הם מתחילים לסרוק אתרים שבעליהם לא עדכנו.

עוד ב-GEEKLIK: Click2Shell: קישור אחד למנהל אתר WordPress הספיק כדי להתקין תבנית ולהריץ קוד

למה טפסים הם נקודת תורפה קבועה

כל טופס שמקבל קבצים מגולשים אנונימיים הוא בפועל דרך לכתוב לדיסק של השרת. מספיקה טעות אחת בבדיקת סוג הקובץ, והדרך הזו מובילה להרצת קוד. לכן כדאי להתייחס לתוספי טפסים כרכיב רגיש באתר. הפעילו בהם עדכונים אוטומטיים כשאפשר, ובדקו מדי פעם את תיקיות ההעלאה גם בלי שום התראה.