Blog 24/7
ARK. 1 · 1 min czytaniaŚwiat ·

Luka CVE-2026-14894 w Super Forms dla WordPressa już wykorzystywana w atakach

Krytyczny błąd we wtyczce Super Forms pozwala bez logowania wgrać dowolny plik i uruchomić webshell PHP. Poprawka jest w wersji 6.3.314.

Karta wpisu: Luka CVE-2026-14894 w Super Forms dla WordPressa już wykorzystywana w atakach

Atakujący wykorzystują CVE-2026-14894, krytyczną lukę we wtyczce Super Forms dla WordPressa. Błąd pozwala wgrać na serwer dowolny plik bez logowania. Atakujący nie potrzebuje więc ani konta na stronie, ani hasła. Informację podał SecurityWeek 11 września 2026 roku w cotygodniowym przeglądzie wiadomości o bezpieczeństwie.

Według materiału atakujący używają luki do wgrywania i uruchamiania webshelli PHP. Może to dać im pełną kontrolę nad stroną z podatną wersją wtyczki. Materiał nie podaje, ilu stron dotyczą ataki ani od kiedy trwają.

Poprawka jest w wersji 6.3.314 i do niej zaleca się aktualizację. Właściciel strony z formularzem Super Forms powinien sprawdzić numer zainstalowanej wersji wtyczki. Jeśli jest niższy niż 6.3.314, trzeba ją zaktualizować. Do czasu aktualizacji na stronę nadal można wgrać plik bez logowania.

TAB. 2

Źródła

1
SecurityWeek — In Other News: InjectEave Attack, SIM Swapper Sentenced, Glasswing Findings Reviewsecurityweek.com
TAB. 3

Powiązane

3
05.11.2026ŚwiatCISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europie
05.11.2026ŚwiatMidnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USA
05.11.2026ŚwiatAPT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione strony

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com