Publicat pe 14 octombrie 2026 · Echipa mitza.es
În prima săptămână din octombrie 2026, firma de securitate Patchstack a detectat exploatarea activă a unor vulnerabilități în trei pluginuri WordPress. Două dintre ele, Ninja Forms și WPC Product Bundles for WooCommerce, fac parte din aceeași campanie, care lasă uși dosnice pe site. Al treilea, Bricksforge, permite executarea de cod chiar și fără autentificare. Ninja Forms are peste 500.000 de instalări active, așa că nu este un plugin de nișă: multe site-uri de IMM-uri îl folosesc pentru formularul de contact.
Ninja Forms și WPC Product Bundles: o campanie care lasă administratori ascunși
Ambele vulnerabilități sunt de tip cross-site scripting stocat și de gravitate ridicată: CVE-2026-94504 în Ninja Forms (versiunile 3.15.3 și anterioare, corectată în 3.15.4) și CVE-2026-93836 în WPC Product Bundles (versiunile 8.6.6 și anterioare, corectată în 8.6.7, cu peste 30.000 de instalări). Patchstack a văzut activitatea împotriva WPC Product Bundles pe 4 octombrie și împotriva Ninja Forms a doua zi; BleepingComputer a publicat-o pe 6.
Atacul funcționează astfel: atacatorul lasă un fragment de JavaScript malițios în datele unei comenzi WooCommerce sau în trimiterea unui formular Ninja Forms. Nu se întâmplă nimic până când un administrator autentificat deschide acel conținut în panou. În acel moment scriptul se execută cu permisiunile administratorului, instalează un plugin fals numit „WP Smart Thumbnails” (versiunea 1.2.4, de la „MediaPress Labs”) și creează conturi de administrator. Deoarece codul malițios provine de pe același domeniu în ambele cazuri, BleepingComputer îl atribuie unui singur actor. Patchstack descrie exploatarea drept limitată deocamdată.
Cel mai incomod este că fiecare atac lasă mai multe căi de întoarcere: un cont de administrator vizibil, altul ascuns, o adresă URL secretă de acces care intră ca cel mai vechi administrator și un manager de fișiere fără autentificare în interiorul pluginului fals. De aceea BleepingComputer insistă că actualizarea previne noi infectări, dar nu curăță un site deja compromis.
Bricksforge: încărcare de fișiere fără autentificare și CVSS 10
CVE-2026-85097 afectează versiunile 3.1.8.9 și anterioare ale Bricksforge, un supliment pentru constructorul Bricks, și este corectată în 3.1.8.10. Un atacator fără cont poate încărca un fișier deghizat în imagine, care de fapt conține cod PHP, și îl poate executa pe server. Patchstack îl notează cu CVSS 10,0 (SecurityWeek îl situează la 9,8) și a înregistrat primele încercări de exploatare pe 7 octombrie 2026, la 21:47 UTC, cu trafic automatizat provenit de la 63 de adrese IP diferite.
SecurityWeek estimează că pluginul este folosit pe aproximativ 6.000 de site-uri, o cifră mult mai mică decât cea a Ninja Forms, dar gravitatea vulnerabilității și viteza atacului justifică urgența. Patchstack a publicat în plus o regulă de atenuare pentru cei care nu pot actualiza imediat.
Cum afli dacă site-ul tău este afectat
- Uită-te în panoul de pluginuri ce versiuni de Ninja Forms, WPC Product Bundles și Bricksforge ai și compară-le cu cele corectate.
- Caută pluginul „WP Smart Thumbnails” 1.2.4: nu ar trebui să existe în instalarea ta.
- Verifică administratorii, dar nu doar în ecranul Utilizatori din panou, pentru că unul dintre conturi poate fi ascuns: verifică și direct tabela de utilizatori din baza de date.
- Dacă folosești Bricksforge, caută fișiere PHP neașteptate în folderul de încărcări al WordPress, în special în
/wp-content/uploads/bricksforge/tmp/și fișiere numitelogin_admin_*.php. - Verifică și folderul
wp-content/mu-plugins: orice fișier pe care nu l-ai pus tu merită o explicație.
Dacă găsești ceva, actualizarea nu este suficientă. Varianta prudentă este să restaurezi o copie anterioară datei de 4 octombrie, să schimbi parolele tuturor administratorilor, începând cu cea a celui mai vechi, și să reînnoiești cheile de securitate din wp-config.php. Dacă nu ai o copie curată, este indicat să verifice cineva cu experiență înainte să consideri site-ul recuperat.
De ce sunt pluginurile veriga slabă a WordPress
Acest tipar se repetă. Luna trecută chiar nucleul WordPress a avut avertismentul lui, cu vulnerabilitatea critică CVE-2026-87902, iar la începutul lui septembrie am acoperit vulnerabilitatea critică din Elementor Pro. Fiecare plugin este cod de la terți, cu propriul calendar de patch-uri, iar cu cât întârzie un site mai mult actualizarea, cu atât rămâne mai mult timp expus la o vulnerabilitate care are deja o soluție publicată.
Ce să faci de astăzi
Actualizează cele trei pluginuri dacă le folosești, iar pe cele de care nu ai nevoie dezactivează-le și șterge-le: un plugin care nu este instalat nu poate fi atacat. Dacă preferi să nu te ocupi tu, serviciul nostru de mentenanță website se ocupă de actualizări, copii de siguranță și monitorizare, iar în ghidul despre ce include un plan de mentenanță explicăm cum poți compara ofertele. Pentru o verificare punctuală a unui site care te îngrijorează, auditul nostru de securitate web verifică pluginurile, utilizatorii și configurația, iar dacă site-ul tău depinde de prea multe suplimente, putem propune și o dezvoltare personalizată cu mai puține piese de la terți.