Ninja Forms plugin flaw exploited to hack WordPress sites
Mis à jour :
Campagne d’exploitation de vulnérabilités XSS sur WordPress
Des attaquants exploitent actuellement des failles de type Cross-Site Scripting (XSS) stocké dans deux plugins WordPress populaires pour compromettre des sites, installer des backdoors et créer des comptes administrateurs dissimulés. Les preuves indiquent qu’un acteur unique est derrière cette campagne visant simultanément ces deux extensions.
Points clés :
- Mode opératoire : L’attaquant injecte un script malveillant dans les données de commande (WooCommerce) ou les soumissions de formulaires (Ninja Forms). Lorsqu’un administrateur consulte ces données, le script s’exécute, installe un faux plugin (“WP Smart Thumbnails”) et crée des accès persistants.
- Persistance : L’attaque met en place quatre mécanismes d’accès, dont un compte administrateur invisible dans le tableau de bord et une URL de connexion secrète, rendant la détection et la suppression complexes.
- Portée : La campagne a été identifiée par les chercheurs de Patchstack début octobre 2026.
Vulnérabilités :
- CVE-2026-93836 : WPC Product Bundles for WooCommerce (versions 8.6.6 et antérieures).
- CVE-2026-94504 : Ninja Forms (versions 3.15.3 et antérieures).
Recommandations :
- Mise à jour immédiate : Passer à WPC Product Bundles for WooCommerce 8.6.7+ et Ninja Forms 3.15.4+.
- Audit de sécurité : La mise à jour ne nettoie pas une infection existante. Les administrateurs doivent inspecter leurs sites à la recherche de comptes suspects, de plugins non autorisés (notamment “WP Smart Thumbnails”) et de fichiers malveillants.
- Vigilance : Surveiller les accès administrateurs et les activités inhabituelles, même si aucun compte suspect n’est visible via l’interface standard.