Атаки на уязвимости Super Forms и Elementor Pro превысили 440 тысяч попыток
По данным Wordfence, злоумышленники используют две критические ошибки в WordPress-плагинах для загрузки PHP-файлов и выполнения кода на сервере. Обновления выпущены для Super Forms 6.3.314 и Elementor Pro 4.2.2.
Злоумышленники уже используют уязвимости в WordPress-плагинах Super Forms и Elementor Pro для удалённого выполнения кода. По данным Wordfence, её средства защиты заблокировали более 250 тысяч попыток атак на Super Forms и ещё 190 тысяч — на Elementor Pro. В сумме это более 440 тысяч попыток эксплуатации.
Проблема в обоих случаях связана с недостаточной проверкой типа загружаемых файлов. Неавторизованный атакующий может загрузить исполняемый PHP-файл, после чего получить возможность выполнять команды на сервере. Это позволяет, в частности, разместить веб-оболочку, создать учётные записи администратора, похитить данные или получить контроль над WordPress-сайтом.
Уязвимость Super Forms имеет идентификатор CVE-2026-14894 и оценку 9,8 из 10 по шкале CVSS. Она исправлена в версии Super Forms — Drag & Drop Form Builder 6.3.314. Wordfence связывает начало атак с 14 июля 2026 года; их пик пришёлся на 18 августа, когда число запросов на эксплуатацию превысило 40 тысяч.
Вторая ошибка, CVE-2026-32475, затрагивает Elementor Pro и устранена в версии 4.2.2. Для её успешной эксплуатации на сайте должна быть опубликована хотя бы одна страница Elementor с виджетом Form, в котором есть поле загрузки файлов. По данным Wordfence, атаки на эту уязвимость начались 19 августа.
Владельцам сайтов с этими плагинами рекомендуют немедленно установить исправленные версии, проверить сайты на признаки взлома и провести аудит неожиданных или недавно изменённых PHP-файлов.