В WordPress-экосистеме часто ждут грубую атаку на пароль или фишинг, но этот случай показывает другой сценарий. Злоумышленники нашли брешь в плагине WP Maps Pro и начали создавать на сайтах новые учетные записи с правами администратора — без пароля и без запроса владельцу.

Что произошло

Речь идет о критической уязвимости CVE-2026-8732 в плагине WP Maps Pro для WordPress. Она затрагивает версии 6.1.0 и старше, а разработчики выпустили исправление в версии 6.1.1.

Плагин используют сайты компаний, агентств недвижимости, туристические ресурсы и каталоги, где нужно показывать несколько точек на карте. Исследователи уже заметили активные попытки эксплуатации и зафиксировали тысячи блокировок за сутки.

Как это работает технически

Проблема спрятана в функции временного доступа, которую изначально придумали для службы поддержки. В норме она должна помогать специалистам входить на сайт клиента для диагностики, но в коде нашлась ошибка в проверке прав.

Запрос к AJAX-эндпоинту принимался от неавторизованного пользователя, а защита держалась только на nonce-проверке в фронтенд-скрипте. Для атакующего это означало, что достаточно отправить специально сформированный запрос, чтобы плагин создал нового пользователя WordPress, назначил ему роль администратора и выдал ссылку для входа без пароля.

Похожая логика часто ломает не только сайты на WordPress, но и любые сервисы, где временный доступ сделан слишком щедро. О том, как организационные привычки ИБ мешают разбирать инциденты, мы уже писали в материале как процессы ИБ влияют на расследование инцидента.

Почему это опасно

Админ на сайте — это почти полный контроль. Злоумышленник может вставить вредоносный код, менять тексты, читать закрытые данные, ставить вредные плагины и разворачивать бэкдоры для повторного входа.

Для владельца сайта это не только простой сбой, а риск утечки клиентской базы, подмены контента и дальнейшего распространения вредоносной активности. Если сайт связан с продажами, каталогом услуг или сбором заявок, удар быстро выходит за рамки одной страницы.

Как понять, касается ли это вас

Проверить нужно всем, у кого на сайте установлен WP Maps Pro. Особенно это важно, если плагин давно не обновляли или на сервере нет нормального журнала действий пользователей.

Тревожные признаки простые: в списке админов появился незнакомый аккаунт, на сайте менялся контент без вашего участия, а в логах видны странные запросы к административным и AJAX-адресам. Если сайт обслуживает подрядчик, стоит отдельно сверить, кто и когда получал временный доступ.

Что делать прямо сейчас

Первый шаг — обновить WP Maps Pro до версии 6.1.1 или новее. Если обновление откладывали, это тот случай, когда пауза опаснее возможных неудобств.

Дальше стоит проверить список пользователей, отключить лишние админские аккаунты, сменить пароли доступа к панели и базе данных, а затем посмотреть журналы входов и изменений. Если на сайте нет стабильного мониторинга, сейчас самое время его включить.

Для сайтов, которые часто работают через открытые сети в поездках и командировках, полезно отдельно подумать о защите соединения и трафика. В таких сценариях помогает [защита для открытого Wi‑Fi] (https://freedome.space) — не как замена базовой гигиене, а как дополнительный слой, когда нужно снизить риски в дороге.

Чек-лист

  • Обновите WP Maps Pro до версии 6.1.1 или новее.
  • Проверьте список администраторов на сайте и удалите лишние учетные записи.
  • Смените пароли к панели WordPress, хостингу и базе данных.
  • Посмотрите журналы входов, изменений и подозрительных AJAX-запросов.
  • Отключите временный доступ, если он не нужен прямо сейчас.
  • Проверьте сайт на вредоносные плагины, бэкдоры и чужие вставки в код.
  • Настройте регулярные резервные копии и контроль изменений файлов.
  • Ограничьте права подрядчиков и сотрудников по принципу минимально нужного доступа.
Поделиться: