Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Attackers Exploit WooCommerce Wholesale Lead Capture Flaw to Plant PHP Web Shells

1 minute de lecture

Mis à jour :

Vague sécuritaire sur les plugins WordPress : Exploitations actives et exécution de code à distance

Des campagnes d’attaques massives exploitent actuellement des failles critiques dans des plugins WordPress populaires pour prendre le contrôle total des serveurs via l’injection de web shells PHP.

Points clés :

  • WooCommerce Wholesale Lead Capture : Plus de 100 000 tentatives d’exploitation bloquées depuis juin 2026. Les attaquants utilisent l’action AJAX wwlc_file_upload_handler pour contourner la validation des fichiers.
  • The Events Calendar : Deux chaînes d’exploitation critiques permettent une exécution de code à distance (RCE) via le pipeline de rendu des widgets, exploitables sans authentification sur les sites autorisant les commentaires.

Vulnérabilités identifiées :

  • CVE-2026-27540 (Score 9.8) : Téléchargement arbitraire de fichiers dans le plugin WooCommerce Wholesale Lead Capture (versions ≤ 2.0.3.1).
  • CVE-2026-78159 (Score 9.8) : Injection d’objets PHP menant à une exécution de code (The Events Calendar ≤ 6.17.3).
  • CVE-2026-78006 (Score 9.8) : Contournement des protections et abus d’appel arbitraire permettant la réinitialisation du mot de passe administrateur (The Events Calendar ≤ 6.17.4).

Recommandations :

  • Mises à jour immédiates : Appliquer les correctifs vers les versions 6.17.3.1 et 6.17.4.1 pour The Events Calendar. Pour Wholesale Lead Capture, mettre à jour vers la version corrigée la plus récente.
  • Audit technique : Inspecter le répertoire uploads et les fichiers .php suspects récemment créés.
  • Surveillance : Analyser les logs pour détecter des requêtes anormales vers /wp-admin/admin-ajax.php ciblant wwlc_file_upload_handler, particulièrement en provenance des adresses IP malveillantes identifiées dans l’article.

Source

Vous pourriez aimer