WooCommerceプラグインの欠陥を狙うWordPress攻撃が活発化と報じられる

未認証のアップロードからPHPバックドアへ

BleepingComputerは、攻撃者がプレミアムプラグイン「WooCommerce Wholesale Lead Capture」のCVE-2026-27540を活発に悪用していると伝えた。
この脆弱性は認証なしで任意のファイルをアップロードできる問題で、2.0.3.1以前に影響する。
攻撃者はPHPウェブシェル（遠隔操作機能を提供し得るスクリプト）をアップロードしてコードを実行でき、サイトが完全に侵害されるおそれがある。
Defiantのウェブアプリケーションファイアウォール「Wordfence」は、このCVEに関連する攻撃を10万件超遮断したとしている。
バージョン2.0.3.2で修正済みとされる。

WooCommerce Wholesale Lead Captureの脆弱性には、2月20日にリリースされたバージョン2.0.3.2で修正が提供されていた。

修正版が提供された後も、古いバージョンを使うWordPressサイトにPHPバックドアをアップロードする攻撃が活発に行われていると報じられている。

ファイルアップロード機能の欠陥が、影響を受けるWordPressサイト上でのコード実行につながり得るとされる一方、修正版はすでに提供されている。