Blog 24/7
ARK. 1 · 1 min czytaniaWordPress ·

Wordfence opisał złośliwą wtyczkę must-use, która odtwarza się po usunięciu

Wordfence znalazł w połowie czerwca wtyczkę must-use w WordPressie z mechanizmami samonaprawy. Sygnatura wykrywająca ten kod została wydana 23 czerwca 2026.

Karta wpisu: Wordfence opisał złośliwą wtyczkę must-use, która odtwarza się po usunięciu

Zespół Wordfence Threat Intelligence opisał złośliwe oprogramowanie znalezione w połowie czerwca podczas czyszczenia strony na WordPressie. Kod był zainstalowany jako wtyczka must-use i miał kilka mechanizmów samonaprawy, dzięki którym odtwarzał się po usunięciu. Sygnatura wykrywająca została wydana 23 czerwca 2026, po przejściu wewnętrznej kontroli jakości.

Do ukrycia serwerów sterujących użyto techniki Etherhiding. Adres infrastruktury atakującego siedzi w smart kontrakcie w łańcuchu Ethereum, więc kanał sterowania jest odporny na wyłączenie przez zgłoszenie do dostawcy.

Kogo dotyczy

Stron opartych na WordPressie. Złośliwy kod działał jako wtyczka must-use, czyli w formie wczytywanej przez WordPressa niezależnie od listy aktywnych wtyczek, a samo usunięcie plików nie kończyło infekcji, bo wtyczka się odtwarzała.

TAB. 2

Źródła

1
Wordfence — Inside a Malicious, Stealthy WordPress Must Use Pluginwordfence.com
TAB. 3

Powiązane

3
05.11.2026WordPressCWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksa
05.11.2026WordPressDreamHost potwierdza wyciek haseł FTP/SFTP i sesji poczty webowej
05.11.2026WordPressVercel wiąże sesję logowania z TPM, skradzione ciasteczko nie zadziała gdzie indziej

Wszystkie wpisy →

Blog 24/7
06.11QNAP potwierdza włamania na serwery NAS przez luki Plex2Shell w Plex Media Serverbleepingcomputer.com06.11CBZC ostrzega: co najmniej 10 ataków na sklepowe systemy chłodnicze w Polscespidersweb.pl06.11Abnormal AI: 53% firm nie ma wzorca normalnego zachowania agentów AIcybersecuritydive.com06.11Claude Enterprise dostaje centrum bezpieczeństwa i inference hooks do narzędzi DLPsecurityweek.com06.11KAMSOFT ZSIRep akceptowała każdy certyfikat HTTPS, poprawka w wersji 2.12.3.1cert.pl06.11Atak na sterowniki chłodnicze Danfoss uszkodził towar w około 700 sklepach we Francjidarkreading.com06.11Złośliwe rozszerzenie przeglądarki może uruchomić kod przez asystenta AI na komputerzethehackernews.com06.11Paint: poprawka CVE-2026-83844 tylko przez Microsoft Store, nie przez Windows Updatethehackernews.com06.11D-Link ostrzega przed niezałatanymi lukami w przełącznikach DGS-3130bleepingcomputer.com06.11Cyberatak na Ahold Delhaize obetnie sprzedaż w IV kwartale o 200-250 mln eurosecurityweek.com