В Wordfence Threat Intelligence предупреждают, что сайты на WordPress подвергаются массовым атакам, нацеленным на уязвимый плагин WPGateway, который предлагает пользователям возможности резервного копирования и клонирования.
Уязвимость нулевого дня, которую используют атакующие, получила идентификатор CVE-2022-3180 (9,8 балла по шкале CVSS). Этот критический баг позволяет неаутентифицированному хакеру создать на сайте дополнительную учетную запись администратора, что ведет к полному захвату сайта.
В Wordfence сообщают, что за последние 30 дней блокировали более 4,6 миллиона атак на эту уязвимость, которые были направлены более чем на 280 000 сайтов.
Наиболее распространенным признаком того, что сайт с плагином WPGateway скомпрометирован, является присутствие администратора с именем пользователя rangex. Кроме того, стоит поискать в логах запросы к //wp-content/plugins/wpgateway/wpgateway-webservice-new.php?wp_new_credentials=1. Это так же будет означать, что сайт был атакован, хотя такие записи не обязательно свидетельствуют об успешном взломе.
Пока подробности об уязвимости не разглашаются, так как детальная информация лишь поможет другим злоумышленникам начать эксплуатировать баг. Так как патча пока нет, пользователям рекомендуется немедленно удалить плагин, и не устанавливать до тех пор, пока не появится исправление.
