Post SMTP: פרצה בתוסף וורדפרס עם 400 אלף אתרים מנוצלת להשתלטות מאז 1 בנובמבר
לפי Wordfence, תוקפים מנצלים מ-1 בנובמבר 2025 את CVE-2025-11833 בתוסף Post SMTP. הפרצה חושפת הודעות איפוס סיסמה ומאפשרת להשתלט על חשבון מנהל. התיקון: גרסה 3.6.1.
TL;DR בקצרה
- CVE-2025-11833 בתוסף Post SMTP, בדירוג CVSS 9.8, מאפשרת לתוקף בלי הזדהות לקרוא הודעות שהאתר שלח, כולל קישורי איפוס סיסמה.
- הגרסאות 3.6.0 ומטה חשופות. הגרסה 3.6.1 יצאה ב-29 באוקטובר 2025, ולפי Wordfence הניצול החל ב-1 בנובמבר.
- BleepingComputer העריך שב-4 בנובמבר לפחות 210 אלף אתרים עוד לא עדכנו, מתוך מעל 400 אלף שמריצים את התוסף.
- חוקר של Reflectiz טוען שהתיקון לא פותר את הסיכון המהותי. זו טענה של חוקר אחד, ולכן כדאי לבדוק את האתר גם אחרי העדכון.
פרצה קריטית בתוסף Post SMTP של וורדפרס מאפשרת לתוקף בלי הזדהות להשתלט על חשבון מנהל, ותוקפים כבר מנצלים אותה. לפי Wordfence, הניצול החל ב-1 בנובמבר 2025. התוסף פעיל בלמעלה מ-400 אלף אתרים. התיקון, גרסה 3.6.1, יצא ב-29 באוקטובר.
מה הפרצה ב-Post SMTP מאפשרת
Post SMTP מחליף את שליחת הדוא״ל הרגילה של וורדפרס, ושומר יומן של הודעות שהאתר שולח. הפרצה, CVE-2025-11833 בדירוג CVSS 9.8, יושבת ברכיב שמציג את היומן. לרכיב חסרה בדיקת הרשאות. לכן כל אחד, גם בלי חשבון באתר, יכול לקרוא הודעות מהיומן.
ההודעות כוללות גם מיילים של איפוס סיסמה. מייל כזה מכיל קישור שמאפשר להחליף סיסמה של מנהל. הגרסאות 3.6.0 ומטה חשופות.
תוספי SMTP נפוצים כי שליחת מייל ישירות משרת האתר נחסמת לעיתים או נוחתת בתיבת הספאם. התוסף שולח את ההודעות דרך שרת דואר אמיתי. היומן עוזר להבין מה נשלח ומה נכשל, ולכן הרבה בעלי אתרים משאירים אותו פעיל. בדיוק היומן הזה הוא נקודת החולשה.
איך תוקף משתלט על אתר דרך יומן האימיילים
ההתקפה פשוטה. התוקף מבקש איפוס סיסמה למנהל האתר, דרך עמוד ההתחברות הרגיל. אחר כך הוא פונה לרכיב היומן ושולף את הודעת האיפוס. עם הקישור הוא מחליף את סיסמת המנהל ונכנס. משם הדרך להשתלטות מלאה על האתר קצרה.
Wordfence קיבלה את הדיווח ב-11 באוקטובר מהחוקר netranger. ב-15 באוקטובר היא אימתה את הפרצה והעבירה אותה ליוצר התוסף. התיקון יצא שבועיים אחר כך.
לפי BleepingComputer, בערך מחצית מהמשתמשים הורידו את התיקון עד ה-4 בנובמבר. כלומר, לפחות 210 אלף אתרים נשארו פגיעים. Wordfence מסרה שחסמה אז מעל 4,500 ניסיונות ניצול נגד לקוחותיה.
איך בודקים אם Post SMTP פגע באתר שלכם
גרסת התוסף מופיעה במסך התוספים בלוח הבקרה. עדכון סוגר את הפרצה, אבל הוא לא מוחק מנהל שהתוקף כבר יצר. לכן בדיקה אחרי העדכון חשובה. Wordfence מונה כמה סימנים. מנהל שקיבל מייל איפוס סיסמה שלא ביקש, ואחר כך לא הצליח להתחבר עם הסיסמה שלו, עשוי להיות קורבן. כדאי לבדוק גם מנהלים חדשים שלא יצרתם, כי תוקפים מוסיפים אותם כדי לשמור על גישה.
ביומני הגישה של השרת אפשר לחפש בקשות עם הפרמטרים action=lostpassword&page=postman_email_log&view=log. בפוסט מ-19 בנובמבר פרסמה Wordfence גם רשימה של שבע כתובות IP שתקפו את התוסף.
מה זה אומר עבורכם
- עדכנו את Post SMTP: עברו לגרסה 3.6.1 או גרסה עדכנית. אם אי אפשר לעדכן, השביתו את התוסף.
- בדקו את רשימת המנהלים: מחקו כל מנהל שאתם לא מכירים, והחליפו סיסמאות של המנהלים שנשארו.
- חפשו ביומני השרת: בקשות עם action=lostpassword ו-page=postman_email_log מעידות על ניסיון ניצול.
- הפעילו אימות דו-שלבי: כך איפוס סיסמה לבדו לא מספיק לכניסה לחשבון מנהל.
- צמצמו את היומן: הודעות איפוס סיסמה בתוך יומן הן סיכון בפני עצמו. שקלו לכבות את שמירת היומן אם אין בה צורך.
מה קרה מאז
ב-6 בנובמבר 2025 עדכן BleepingComputer שחוקר Reflectiz, Ysrael Gurt, טוען שהתיקון לא פותר את הסיכון המהותי. לדבריו, מזהי היומן עולים אחד אחד, ולכן קל לנחש אותם. הוא טוען גם שמשתמשים בהרשאה נמוכה עדיין יכולים לראות הודעות איפוס. זו טענה של חוקר אחד, ולא אישור של יוצר התוסף.
ב-19 בנובמבר 2025 פרסמה Wordfence נתונים משלה. לפי הפוסט, תוקפים החלו ב-1 בנובמבר, וניצול המוני התחיל ב-2 בנובמבר. עד אז חסמה החברה מעל 10,300 ניסיונות.
מקורות והרחבה
- Hackers exploit WordPress plugin Post SMTP to hijack admin accountsBleepingComputer
- Attackers Actively Exploiting Critical Vulnerability in Post SMTP PluginWordfence
- Post SMTP <= 3.6.0 - Missing Authorization to Account Takeover via Unauthenticated Email Log Disclosure (CVE-2025-11833)Wordfence Intelligence
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
