Backdoor vrata u desecima WordPress dodataka ugrozila tisuće stranica

Nakon otkrića zlonamjernog koda, desetci popularnih dodataka za WordPress uklonjeni su iz službenog direktorija.

Dozine dodataka za popularni sustav za upravljanje sadržajem WordPress povučene su iz upotrebe nakon što je u njihov izvorni kod ugradeno stražnje vrata. Ono je omogućilo distribuciju zlonamjernog koda na svaku web stranicu koja je koristila kompromitirane dodatke. Napad je otkriven nakon što je novi vlasnik preuzeo tvrtku koja ih je razvijala.

Osnivač tvrtke Anchor Hosting, Austin Ginder, podigao je uzbunu u blog postu prošlog tjedna u kojem opisuje napad na lanac opskrbe usmjeren na proizvođača WordPress dodataka pod nazivom Essential Plugin. Ginder je naveo da je netko prošle godine kupio Essential Plugin, a stražnja vrata su ubrzo dodana u izvorni kod dodataka. Zlonamjerni kod bio je neaktivan sve do početka ovog mjeseca kada se aktivirao i počeo distribuirati zlonamjerni kod na sve web stranice s instaliranim tim dodacima.

Na svojoj web stranici, Essential Plugin tvrdi da ima preko 400.000 instalacija dodataka i više od 15.000 korisnika. Stranica za instalaciju dodataka u WordPressu pokazuje da su zahvaćeni dodaci prisutni u više od 20.000 aktivnih WordPress instalacija.

Dodaci vlasnicima WordPress stranica omogućuju proširenje funkcionalnosti, ali time im i daju pristup njihovoj instalaciji, što može otvoriti vrata zlonamjernim proširenjima i potencijalnoj ugrozi. Ginder je upozorio da WordPress korisnike ne obavještava o promjeni vlasništva nad dodacima, što ih izlaže riziku od preuzimanja od strane novih vlasnika.

Prema Ginderu, ovo je drugi preuzeti WordPress dodatak otkriven u samo dva tjedna. Sigurnosni istraživači dugo upozoravaju na rizike od kupnje softvera od strane zlonamjernih aktera kako bi promijenili njegov kod i ugrozili veliki broj računala diljem svijeta.

Iako su dodaci uklonjeni iz WordPress direktorija i sada su označeni kao trajno zatvoreni, Ginder upozorava da bi vlasnici WordPress stranica trebali provjeriti imaju li još uvijek instaliran neki od zlonamjernih dodataka i ukloniti ga. Popis zahvaćenih dodataka dostupan je u Ginderovom blog postu.

Predstavnici Essential Plugin-a nisu odgovorili na zahtjev za komentar.