Chiến dịch tấn công lớn nhắm vào 2 plugin WordPress phổ biến – Elementor Pro và Ultimate Add-ons for Elementor đã được xác định. Hơn 1 triệu website cài plugin này là mục tiêu nóng. Ngay sau khi zero-day exploit lộ, nhà phát hành đã vội vá lỗi. Phiên bản đã vá:
- Elementor Pro: 2.9.4
- Ultimate Addons for Elementor: 1.24.2
Hãy cập nhật ngay từ bất kỳ phiên bản cũ nào bạn đang dùng.
Cập nhật 6/6/2020: Lỗ hổng Stored XSS critical khác được phát hiện trong Elementor Page Builder. Cho phép user cấp Author tạo custom link với XSS payload độc hại & custom attribute widget → stored XSS risk. Patch ở version 2.9.10. Cập nhật ngay!
Chi tiết về hack
Lỗ hổng Elementor Pro cho phép Remote Code Execution (RCE) trên WP có open registration. Nguyên nhân: quyền upload icon set (zip) cho subscriber. Elementor Pro thiếu validation check → cho phép upload extension/nội dung đáng ngờ. Hacker với quyền subscriber (mức thấp nhất) upload .zip chứa mã độc thực thi. Sau khi execute: attacker có thể làm bất cứ gì – upload shell/malware, gieo backdoor, thêm user giả, lấy admin access, sửa setting, xóa toàn bộ site.
Bản vá Elementor Pro thêm code validate nội dung zip – chỉ cho phép CSS, EOT, HTML, JSON, OTF, SVG…
Bản vá 2: Chỉ cho phép user có quyền Administrator/Super-Admin upload file. Subscriber upload zip → báo lỗi.
Ultimate Addons không thiếu quy tắc upload. Nhưng nó cho phép bất kỳ ai trở thành subscriber – ngay cả khi không có form đăng ký active.
Lỗ hổng Ultimate Addons tạo điều kiện cho hacker exploit RCE critical trên Elementor Pro. Dù site không có form đăng ký, attacker tự thêm mình làm subscriber → đáp ứng điều kiện tối thiểu để exploit RCE Elementor Pro.
Lưu ý: Lỗ hổng chỉ nằm ở Elementor Pro. User Elementor Free version an toàn.
Damage Control (Kiểm soát thiệt hại)
Khách Astra: không lo – Astra đã chặn upload file kiểu này. Kiểm tra lại: Dashboard > Settings >> File Upload Rules – xem toggle đã bật chưa.
Muốn chặn thêm extension: thêm File Upload Rule chặn mọi attempt upload độc hại.
Tất cả user Elementor Pro & Ultimate Addons: cập nhật bản vá (2.9.4 & 1.24.2).
Đã bị hack? Astra dọn malware tức thì (dưới 4 giờ) khôi phục site.
Sau khi update, tuân thủ WordPress Security Guide để tăng cường bảo mật.