Ninja Forms plugin flaw exploited to hack WordPress sites
BleepingComputer · 6 oct, 23:00
Qué hacer: Actualiza Ninja Forms a versión 3.15.4 o posterior y WPC Product Bundles for WooCommerce a versión 8.6.7 o posterior.
Los hackers explotan vulnerabilidades de cross-site scripting (XSS) almacenado en los plugins de WordPress Ninja Forms y WPC Product Bundles for WooCommerce para instalar backdoors y crear cuentas administrativas rogue. Ambas vulnerabilidades requieren sesión autenticada y afectan a más de 500.000 y 30.000 sitios respectivamente. El mismo actor de amenaza utiliza ambos plugins para establecer múltiples mecanismos de acceso persistente, incluidas cuentas ocultas que no aparecen en el listado de usuarios.
Patchstack identificó la campaña el 4 de octubre contra WPC Product Bundles y al día siguiente contra Ninja Forms. El atacante inyecta JavaScript malicioso en los datos de pedidos de WooCommerce o envíos de formularios Ninja Forms; cuando un administrador autenticado carga el contenido, el script se ejecuta con la sesión de WordPress y descarga un plugin falso denominado "WP Smart Thumbnails" versión 1.2.4.
La explotación establece cuatro mecanismos de acceso: una cuenta administrativa visible, una cuenta oculta que no aparece en el listado de usuarios, una URL de login secreto que autentica como el administrador más antiguo, y un gestor de archivos sin autenticación. Incluso si se elimina el plugin malicioso, la cuenta oculta y la URL secreta persisten mediante plugins auxiliares con timestamps atrasados. Patchstack reporta explotación limitada actualmente pero recomienda actualizar a WPC Product Bundles 8.6.7+ y Ninja Forms 3.15.4+.
Puntos clave
- CVE-2026-93836 (WPC Product Bundles ≤8.6.6) y CVE-2026-94504 (Ninja Forms ≤3.15.3)
- Actualizar a WPC Product Bundles 8.6.7+ y Ninja Forms 3.15.4+ para prevenir nuevas explotaciones
- Las cuentas administrativas ocultas persisten incluso después de eliminar el plugin malicioso
- Verificar signos de compromiso en sitios afectados, incluyendo plugins sospechosos con timestamps antiguos