Kampania XSS w WordPressie zakłada ukryte konto administratora

Od 4 października 2026 trwa kampania, która przez luki typu stored XSS w dwóch wtyczkach WordPress zakłada ukryte konto administratora i instaluje tylne drzwi. Poprawki dla tych luk jeszcze nie ma. Według Patchstack ten sam skrypt JavaScript, pobierany z domeny imgcdn1.com, uruchamia się w przeglądarce zalogowanego administratora. W jego sesji wgrywa złośliwą wtyczkę, tworzy nowe konto administratora i wysyła wyniki na serwer atakujących. Konto nie pojawia się na ekranie użytkowników, a dodatkowy adres logowania wpuszcza jako pierwotnego właściciela strony. Zestaw zawiera też menedżer plików dostępny bez logowania, ukryty pod siedmioma warstwami pakowania. Pliki mają postarzone daty, żeby wyglądały na starsze niż sama instalacja WordPress.

Kogo dotyczy

Właścicieli stron na WordPress z jedną z dwóch wtyczek: sklepową, służącą do tworzenia zestawów produktów, albo wtyczką formularzy. Pierwszą z luk da się wykorzystać bez logowania. Patchstack potwierdził na razie dwie wtyczki i zastrzega, że nie spodziewa się, by na tym się skończyło.