Adi fayl yükləmə forması WordPress serverlərinə açıq girişə çevrilib. Wordfence şirkəti Super Forms – Drag & Drop Form Builder plaginindən istifadə etməklə həyata keçirilən 250 mindən çox istismar cəhdini bloklayıb. Hücumlar təxminən 13 min aktiv quraşdırmaya malik məhsula yönəlib. Lakin sorğuların sayı sındırılmış saytların sayını göstərmir.
Hücumların hədəfi CVSS 3.1 üzrə 10 baldan 9,8 balla qiymətləndirilən CVE-2026-14894 kritik boşluğudur. Boşluq Super Forms-un 6.3.313 və daha əvvəlki bütün versiyalarında mövcuddur. Plagin yüklənən faylın tipini və uzantısını yoxlamadığı üçün hətta hesabı olmayan kənar istifadəçi serverə icra olunan PHP kodu yaza bilirdi.
Nonce adlı birdəfəlik təhlükəsizlik mexanizmi də hücumun qarşısını almırdı. İctimaiyyətə açıq ayrıca bir handler ziyarətçiyə uyğun nonce və sessiya cookie-si təqdim edirdi. Bundan sonra təcavüzkar ikinci sorğunu WordPress AJAX vasitəsilə göndərir, zərərli kodu Base64 formatında ötürür və faylın adını .php uzantısı ilə müəyyənləşdirirdi.
Real hücumlarda kod GIF şəkli kimi maskalanırdı, halbuki faylın daxilində Mushr00w_upl.php adlı web-shell yerləşirdi. Fayl diskə yazıldıqdan sonra təcavüzkar onu brauzer vasitəsilə aça və əlavə web-shell-lər, fişinq dəstləri, spam səhifələri və digər zərərli kodları serverə yükləyə bilirdi. Əldə edilən giriş imkanları administrator hesablarının yaradılmasına, məlumatların oğurlanmasına və sayt üzərində tam nəzarətin ələ keçirilməsinə şərait yaradırdı.
Tərtibatçı 6.3.314 nömrəli düzəldilmiş versiyanı hələ 8 iyulda yayımlayıb, zəiflik barədə məlumat isə 9 iyulda açıqlanıb. Wordfence ilk istismar cəhdlərini 14 iyulda, məlumatın açıqlanmasından bir neçə gün sonra müşahidə edib. Ən intensiv hücum dalğası 18–25 avqust tarixlərində qeydə alınıb. Ən aktiv iki IP ünvanı birlikdə 188 mindən çox sorğu göndərib.
Administratorlara Super Forms plaginini ən azı 6.3.314 versiyasına yeniləmək və bütün saytı yeni və ya yaxın zamanda dəyişdirilmiş PHP fayllarına görə yoxlamaq tövsiyə olunur. Xüsusilə Mushr00w_upl.php, naməlum administrator hesabları və /wp-admin/admin-ajax.php ünvanına action=super_submit_form parametri ilə göndərilən sorğulara diqqət yetirilməlidir.
Saytın sındırıldığına dair əlamətlər aşkar edilərsə, kənar fayllar və istifadəçi hesabları silinməli, daha sonra isə saytda gizli giriş nöqtələrinin olub-olmaması yoxlanılmalıdır.
