1. Een kritieke kwetsbaarheid, aangeduid als CVE-2026-27540, is ontdekt in de WooCommerce-extensie "Wholesale Lead Capture". Deze kwetsbaarheid heeft een CVSS-score van 9.8, wat duidt op een zeer ernstig beveiligingsrisico. De kwetsbaarheid treft versies van de extensie tot en met 2.0.3.1.
2. De kwetsbaarheid maakt het voor aanvallers mogelijk om ongeautoriseerde toegang tot WordPress-sites te verkrijgen zonder dat er inloggegevens nodig zijn. Dit gebeurt door misbruik te maken van een functie voor het uploaden van bestanden.
3. Het probleem ligt in de verwerking van lijsten met toegestane bestandstypen. De extensie accepteert deze lijsten vanuit de aanvraag van de bezoeker, in plaats van te vertrouwen op serverinstellingen. Hierdoor kan een aanvaller de lijst aanpassen om bijvoorbeeld een PHP-bestand te laten accepteren.
4. Door een kwaadaardig PHP-bestand te uploaden, kunnen aanvallers een backdoor creëren op de website, wat hen een extern toegangspunt geeft. Deze kwetsbare logica omzeilt normale bestandstypecontroles, waardoor een belangrijke beveiligingsmaatregel die de uitvoering van code zou moeten stoppen, wordt uitgeschakeld.
5. Er wordt actief misbruik van deze kwetsbaarheid waargenomen. Er zijn meer dan 100.000 pogingen tot exploitatie geblokkeerd, met opmerkelijke pieken tussen 4 en 17 juni, op 1 juli en op 30 augustus. De waargenomen payloads bieden functionaliteit om hostdetails te bekijken en nieuwe bestanden te schrijven.
6. De extensie "Wholesale Lead Capture" is naar schatting geïnstalleerd op ongeveer 6.000 actieve websites.
7. De gevolgen van een succesvolle exploitatie kunnen ernstig zijn. Aanvallers kunnen klantgegevens blootleggen, betaalfraude plegen of de gecompromitteerde website gebruiken als springplank voor verdere aanvallen.
8. Het advies is om de extensie "Wholesale Lead Capture" onmiddellijk bij te werken naar versie 2.0.3.2.
9. Beheerders wordt aangeraden om een inventarisatie van alle WordPress-extensies uit te voeren. Het is belangrijk om back-ups te verifiëren die zijn gemaakt vóór een mogelijke inbraak en om uploadmappen te controleren op de aanwezigheid van onverwachte PHP-bestanden.
10. Verder moeten beheerders controleren op de aanmaak van onbekende administratoraccounts, serverlogs inspecteren op aanvalspatronen, en verdachte bestanden verwijderen. Onbekende accounts moeten worden ingetrokken.
11. Organisaties die bestellingen verwerken, dienen specifiek te controleren op wijzigingen in hun checkoutpagina's, de aanwezigheid van nieuwe geplande taken en verdachte uitgaande verbindingen.
12. Ontwikkelaars wordt geadviseerd om bestandstypen en groottelimieten altijd aan de serverzijde te valideren, nooit browser-geleverde instellingen te vertrouwen, en te voorkomen dat geüploade bestanden als code worden uitgevoerd.
13. Het snel toepassen van beveiligingsupdates (patchen) en het uitvoeren van routinecontroles worden benadrukt als de meest effectieve methoden om zich te beschermen tegen bekende kwetsbaarheden.