Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Hackers Exploit Critical Everest Forms Pro WordPress Plugin Flaw to Take Over Sites

1 minute de lecture

Mis à jour :

Vulnérabilité critique dans Everest Forms Pro et nouvelles campagnes de skimming

Une faille critique de type exécution de code à distance (RCE) est activement exploitée sur le plugin WordPress Everest Forms Pro. Parallèlement, des campagnes de skimming sophistiquées détournent des services de confiance comme Stripe pour exfiltrer des données bancaires.

Points clés :

  • Everest Forms Pro : Des attaquants exploitent une vulnérabilité non authentifiée pour compromettre totalement les sites WordPress, notamment en créant des comptes administrateurs factices. Plus de 29 000 tentatives d’exploitation ont été bloquées depuis avril 2026.
  • Skimming via Stripe : Des pirates utilisent l’infrastructure de Stripe comme serveur de commande et de contrôle (C2) pour stocker et exfiltrer des données de cartes bancaires. En abusant de la confiance accordée aux domaines de Stripe et de Google Tag Manager, ils contournent les politiques de sécurité (CSP).
  • Réseau GorgonAgora : Une opération à grande échelle utilise plus de 5 000 fausses boutiques en ligne pour voler des données de paiement, incluant un relais en temps réel pour contourner les défis 3D Secure.

Vulnérabilité (Everest Forms Pro)

  • CVE : CVE-2026-3300
  • Score CVSS : 9.8 (Critique)
  • Description : La fonction process_filter() du module “Calculation Addon” concatène des entrées utilisateur sans assainissement suffisant avant de les traiter avec eval(), permettant l’injection de code PHP.
  • Versions affectées : Jusqu’à 1.9.12 incluse.

Recommandations

  • Mise à jour immédiate : Mettre à jour le plugin Everest Forms Pro vers la version 1.9.13 ou supérieure.
  • Audit de sécurité : Vérifier la présence de comptes utilisateurs suspects ou de web shells sur les sites utilisant ce plugin.
  • Protection e-commerce : Surveiller les appels API suspects vers des services tiers (Stripe, Google Firestore) depuis le frontend et renforcer les règles de Content Security Policy (CSP) pour restreindre les connexions sortantes vers des domaines non autorisés.

Source

Vous pourriez aimer