nieautoryzowane konto administratora

Nieautoryzowane konto administratora to konto z rolą Administrator, które do WordPressa dodał atakujący, a nie właściciel strony. Powstaje przez lukę we wtyczce, przejęte hasło albo bezpośredni wpis w bazie danych i służy do zachowania dostępu także po załataniu luki. MITRE opisuje tworzenie kont jako technikę utrwalenia dostępu: dodatkowe konto daje atakującemu drugą drogę do systemu bez stałego narzędzia zdalnego ^[7]. Dokumentacja WordPressa wymienia utworzenie nowych użytkowników wśród typowych oznak włamania ^[5].

Jak powstaje

Na pojedynczej witrynie administrator ma dostęp do wszystkich funkcji administracyjnych, w tym do tworzenia użytkowników, instalowania wtyczek i edycji plików ^[6]. Dlatego konto administratora jest dla atakującego najcenniejszym łupem: z niego można założyć tylną furtkę (backdoor) w dowolnym miejscu. Drogi do takiego konta zestawia tabela.

Pierwsza droga to zdalne wykonanie kodu (RCE); pierwsze dwie kończą się eskalacją uprawnień do najwyższej roli. Trzecia to fałszywa wtyczka, którą ktoś z dostępem do panelu zainstalował sam.

Przebieg typowego ataku przez lukę we wtyczce pokazuje schemat poniżej.

RYS. 1Od luki do trwałego dostępu

Ukrywanie i odtwarzanie konta

Proste ataki zostawiają konto na widoku, ale coraz częściej złośliwy kod je ukrywa. Sucuri w lipcu 2025 roku opisał wtyczkę podszywającą się pod poprawkę zgodności, która zakładała konto adminbackup, filtrowała je z widoków panelu, poprawiała liczniki użytkowników w poszczególnych rolach i blokowała usunięcie lub edycję tego konta ^[3]. Sama wtyczka też nie pojawiała się na liście wtyczek, choć była aktywna ^[3].

We wrześniu 2025 roku Sucuri opisał wariant z dwoma elementami: fałszywą wtyczkę, która usuwała się z listy wtyczek i ukrywała konto help, oraz plik w katalogu głównym, który po próbie usunięcia konta odtwarzał je z hasłem atakującego ^[4]. Ten sam kod wysyłał dane logowania na serwer atakującego ^[4]. Wstrzykiwał też zewnętrzne skrypty dla odwiedzających stronę i śledził adresy IP administratorów ^[4], więc konto było tylko jednym z elementów większej infekcji. Wtyczka z lipca 2025 roku miała z kolei wyłącznik: kończyła działanie, gdy w przeglądarce było ustawione określone ciasteczko ^[3], co pozwalało atakującemu korzystać ze strony bez uruchamiania własnych mechanizmów. Takie konto przetrwa usunięcie w panelu, dopóki na serwerze zostaje plik, który je odtwarza.

W WordPressie

W WordPressie konto administratora zakłada się funkcjami rdzenia, więc złośliwy kod nie potrzebuje niczego nietypowego. W ataku na Everest Forms Pro (CVE-2026-3300, wersje przed 1.9.13) najczęściej obserwowany ładunek wywoływał wp_insert_user() i tworzył konto administratora o nazwie diksimarina ^[2]. Luka pozwalała na zdalne wykonanie kodu bez uwierzytelnienia; sekurak podał, że zapora Wordfence zablokowała prawie 30 tysięcy prób ataku ^[2]. To przykład podatności wykorzystywanej bez uwierzytelnienia.

CERT Polska opisał kampanię Balada Injector, która od 2017 roku wykorzystuje luki we wtyczkach ^[1]. W fali z grudnia 2023 roku atakowano podatność we wtyczce Popup Builder do wersji 4.2.3 (CVE-2023-6000); po jej wykorzystaniu atakujący mógł w panelu wykonać dowolną czynność, w tym zainstalować wtyczki i utworzyć nowe konta administratorów ^[1].

Warto znać też rolę domyślną. Uprawnienie create_users pozwala tworzyć nowych użytkowników, a bez innych uprawnień dostają oni rolę wskazaną w ustawieniach jako default role ^[6]. Zmiana tego ustawienia na Administrator przy otwartej rejestracji daje każdemu nowemu kontu pełne uprawnienia.

Jak wykryć

Konto utworzone przez atakującego jest wskaźnikiem kompromitacji (IoC). Panel może kłamać, bo złośliwy kod filtruje listę użytkowników ^[3]. Pewniejsze jest sprawdzenie z pominięciem panelu, na przykład przez WP-CLI, które ma opcję wyświetlania tylko użytkowników o danej roli ^[8]:

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Wynik warto porównać z listą osób, które powinny mieć dostęp. Podejrzane są konta z niedawną datą rejestracji, nazwy udające systemowe i adresy e-mail w obcych domenach. MITRE zaleca monitorowanie zdarzeń tworzenia kont w dziennikach administracyjnych ^[7].

Jak się bronić

Samo usunięcie konta nie kończy sprawy. Konto jest skutkiem, a nie przyczyną, i wraca, jeśli na serwerze zostaje odtwarzający je kod ^[4]. Czyszczenie przejętej strony obejmuje:

• usunięcie złośliwych plików i nieznanych kont administratorów ^[4];
• przejrzenie listy użytkowników i zmianę ich haseł, jak zaleca CERT Polska ^[1];
• zmianę haseł do wszystkich punktów dostępu: panelu, FTP i SFTP, panelu hostingu i bazy danych ^[5];
• wymianę kluczy bezpieczeństwa i soli w wp-config.php, co wylogowuje wszystkie aktywne sesje ^[5];
• ponowną zmianę haseł po oczyszczeniu strony ^[5];
• aktualizację rdzenia, wtyczek i motywów ^[4].
• usunięcie nieużywanych wtyczek z katalogu wtyczek, nie tylko ich dezaktywację ^[3].

Zapobiegawczo MITRE wymienia uwierzytelnianie wieloskładnikowe (MFA) i ograniczenie uprawnień do tworzenia kont ^[7]. W WordPressie odpowiada temu zasada najmniejszych uprawnień: rolę Administrator mają tylko osoby, które jej potrzebują, zgodnie z modelem ról i uprawnień użytkowników.