Исследователи из компании Wordfence сообщили об обнаружении двух критических уязвимостей в популярных расширениях для платформы WordPress — Elementor Pro и Super Forms. Обе бреши позволяют злоумышленникам выполнять произвольный код на серверах, что создает серьезный риск захвата веб-ресурсов. На текущий момент зафиксировано уже более 440 тысяч попыток эксплуатации этих недостатков.
Критическая уязвимость в конструкторе Elementor Pro
Плагин Elementor Pro, широко используемый для создания сайтов методом перетаскивания элементов, оказался подвержен ошибке, связанной с неограниченной загрузкой файлов. Проблема затрагивала все версии расширения вплоть до 4.2.1 включительно. Уязвимости присвоен идентификатор CVE-2026-32475, а ее критичность оценивается в 9,8 балла из 10 возможных.
Эксперты поясняют, что для успешной атаки на целевом сайте должна быть опубликована страница, содержащая виджет Elementor Pro Form с хотя бы одним необязательным полем для загрузки файлов. В таком случае неавторизованные злоумышленники могут загрузить исполняемые файлы, что открывает путь к удаленному выполнению кода. Исправление для данной ошибки было выпущено в середине августа 2026 года. По данным Wordfence, система безопасности успела заблокировать более 190 тысяч попыток использования этого эксплойта.
Брешь в функционале плагина Super Forms
Аналогичная по своей сути проблема была выявлена в плагине Super Forms, который используется для создания форм обратной связи и управления ими. Уязвимость была обнаружена во всех версиях до 6.3.313 включительно. Она зарегистрирована под номером CVE-2026-14894 и также имеет максимально высокий рейтинг опасности — 9,8 из 10. Несмотря на то что число активных установок Super Forms составляет около 13 тысяч, активность хакеров в отношении этой уязвимости оказалась весьма высокой.
Масштабы кибератак и рекомендации для администраторов
Специалисты Wordfence зафиксировали более 250 тысяч попыток эксплуатации бреши в Super Forms. В совокупности с атаками на Elementor Pro общее число зафиксированных попыток взлома превысило 440 тысяч. Учитывая широкое распространение затронутых плагинов, исследователи в области кибербезопасности настоятельно рекомендуют владельцам и администраторам веб-сайтов на базе WordPress немедленно обновить используемое ПО до последних версий, содержащих необходимые патчи безопасности. Это позволит предотвратить несанкционированный доступ к ресурсам и обезопасить инфраструктуру от атак, использующих данные уязвимости.
Технические детали и риски
Elementor Pro представляет собой коммерческое решение, предлагающее пользователям расширенный инструментарий: от продвинутых виджетов и шаблонов до интерактивных форм и всплывающих окон. На сегодняшний день плагин является одним из самых популярных инструментов для визуального проектирования сайтов, насчитывающим более шести миллионов активных установок. Именно такая широкая база пользователей делает его основной целью для злоумышленников, стремящихся к массовому захвату веб-ресурсов.
Исследователи из Wordfence подчеркивают, что эксплуатация уязвимостей происходит «в диких условиях» (in the wild), что свидетельствует о высокой заинтересованности хакеров в автоматизированных атаках на уязвимые сайты. Что касается плагина Super Forms, несмотря на существенно меньшее количество установок (около 13 тысяч), интенсивность атак на этот инструмент оказалась даже выше, чем на Elementor Pro. В совокупности эти два вектора угроз создают серьезную опасность для безопасности инфраструктуры WordPress, вынуждая владельцев сайтов действовать максимально оперативно.
Напомним, что для уязвимости в Super Forms патч был выпущен всего несколько недель назад, что делает установку актуальной версии 6.3.313 (или новее) критически важной мерой. Администраторам следует проверить свои сайты на наличие указанных виджетов и незамедлительно обновить плагины до версий, в которых разработчики устранили возможность загрузки произвольных файлов.
