| Имя плагина | MoreConvert Pro |
|---|---|
| Тип уязвимости | Нарушенная аутентификация |
| Номер CVE | CVE-2026-5722 |
| Срочность | Высокий |
| Дата публикации CVE | 2026-05-05 |
| Исходный URL-адрес | CVE-2026-5722 |
Уязвимость в системе аутентификации в MoreConvert Pro (<= 1.9.14) — Как эта уязвимость влияет на ваш сайт и что делать прямо сейчас
Подробный, практический анализ обхода аутентификации в MoreConvert Pro (CVE‑2026‑5722). Что произошло, как злоумышленники это используют, как обнаружить эксплуатацию, краткосрочные меры смягчения, рекомендуемые правила брандмауэра и полный контрольный список реагирования на инциденты — с точки зрения инженеров безопасности WP‑Firewall.
Автор: Команда безопасности WP‑Firewall | Дата: 2026-05-05 | Теги: WordPress, Уязвимость, WAF, MoreConvert Pro, CVE-2026-5722, Реагирование на инциденты
Управляющее резюме
Критическая уязвимость “сломанная аутентификация” (CVE‑2026‑5722) была обнаружена в плагине MoreConvert Pro для WordPress, затрагивающая версии <= 1.9.14. Проблема позволяет неаутентифицированным пользователям обходить проверки аутентификации и выполнять привилегированные действия — что потенциально может привести к захвату учетной записи, порче сайта, постоянным бэкдорам или созданию злонамеренных администраторов. Уязвимость была исправлена в версии 1.9.15. Если вы используете MoreConvert Pro (<= 1.9.14) на своем сайте, обновите его немедленно. Если вы не можете обновить немедленно, следуйте краткосрочным и среднесрочным мерам смягчения ниже и выполните контрольный список реагирования на инциденты.
Почему это важно (кратко)
Уязвимости в системе аутентификации являются одними из самых опасных недостатков в плагинах WordPress. Неаутентифицированный злоумышленник, который успешно эксплуатирует такую ошибку, может выполнять действия, которые обычно ограничены для аутентифицированных, высокопривилегированных пользователей. Эксплуатация часто легко автоматизируется в больших масштабах, что делает эти дефекты популярными в массовых кампаниях эксплуатации. CVSS для этой проблемы очень высок (9.8), что отражает высокую вероятность серьезного воздействия.
Затронутые версии и патч
- Затронутые: плагин MoreConvert Pro — версии <= 1.9.14
- Исправлено: 1.9.15 (пожалуйста, обновите немедленно)
- CVE: CVE‑2026‑5722
Если вы можете обновить: сделайте это сейчас. Если не можете, следуйте мерам смягчения ниже.
Что такое “сломанная аутентификация” в практическом смысле?
В плагинах WordPress мы часто видим сломанную аутентификацию, когда код, который открывает административные функции, не проверяет должным образом, аутентифицирован ли вызывающий и имеет ли он необходимые права (например управление_опциями или активировать_плагины). Общие коренные причины включают:
- Отсутствие или неправильные проверки прав перед выполнением привилегированных действий.
- Открытые AJAX действия или конечные точки REST API с недостаточными обратными вызовами разрешений.
- Полагание на данные, предоставленные клиентом (например, nonce), которые не проверяются должным образом.
- Логика, предполагающая, что вызывающий аутентифицирован, потому что запрос пришел из браузера или был POST, что не является правдой.
Когда эти проверки отсутствуют или могут быть обойдены, неаутентифицированные запросы могут инициировать действия, такие как создание или изменение пользователей, изменение параметров, загрузка файлов или выполнение функций администратора плагина — фактически передавая злоумышленнику административный контроль.
Как злоумышленники используют это (типичный поток атаки)
Хотя детали эксплуатации варьируются в зависимости от уязвимости, общий шаблон для сломанной аутентификации в плагине, таком как MoreConvert Pro, выглядит следующим образом:
- Злоумышленник обнаруживает неаутентифицированную точку входа (AJAX-операция, REST-маршрут или прямой файл плагина), которая выполняет привилегированную операцию.
- Они создают HTTP-запрос к этой точке входа, который не содержит заголовков/куки аутентификации, потому что проверки аутентификации отсутствуют или имеют недостатки.
- Сервер выполняет привилегированное действие (например, создает пользователя с ролью администратора, изменяет настройки сайта, загружает заднюю дверь) и возвращает успех.
- Затем злоумышленник входит в систему (или использует заднюю дверь) и устанавливает постоянный доступ.
Поскольку уязвимость не требует аутентификации, автоматизация тривиальна: злоумышленники сканируют тысячи сайтов, активируют конечную точку и сообщают о скомпрометированных хостах. Вот почему быстрое исправление и смягчение WAF критически важны.
Вероятные последствия в случае эксплуатации
- Новые учетные записи администратора создаются незаметно.
- Сброс паролей существующих учетных записей администратора или повышение привилегий.
- Произвольные изменения параметров плагина или темы (могут внедрять вредоносные скрипты).
- Удаленная загрузка файлов или выполнение произвольного кода, если плагин принимает контент или файлы.
- Установка задней двери на сайте и постоянный доступ (веб-оболочки, запланированные задачи).
- SEO-спам, перенаправления, кража данных или полный захват сайта.
Даже если злоумышленник не создает администратора сразу, он может оставить заднюю дверь для последующего использования — устранение уязвимости должно быть тщательным.
Индикаторы компрометации (IoCs), которые нужно проверить прямо сейчас
Проверьте свои журналы и сайт на наличие признаков эксплуатации:
- Неожиданные POST/GET запросы к конечным точкам плагина, admin-ajax.php или REST-маршрутам в момент компрометации. Ищите запросы без действительных куки сессии.
- Новые пользователи-администраторы (проверьте список пользователей на наличие учетных записей, которые вы не узнаете).
- Неизвестные задания cron (записи wp_options для запланированных задач) или новые запланированные события.
- Неожиданные изменения в файлах плагинов/тем (даты изменения файлов).
- Файлы, похожие на веб-оболочки, или файлы, содержащие
base64_eval,eval(base64_decode(...)),preg_replaceс/e, или другие подозрительные конструкции. - Внезапные всплески исходящего трафика или исходящих соединений, исходящих с сайта.
- Подозрительные записи в базе данных (посты/страницы со спам-контентом, новые опции).
- События входа с необычных IP-адресов или геолокаций.
Если вы найдете что-либо из этого, рассматривайте сайт как скомпрометированный и следуйте шагам реагирования на инциденты ниже.
Немедленные действия (0–60 минут)
Если вы используете MoreConvert Pro <= 1.9.14:
- Обновите плагин до 1.9.15 немедленно, если это возможно. Патч — лучшее средство.
- Если вы не можете обновить немедленно, отключите плагин из панели управления WordPress или переименовав его папку плагина через SFTP/SSH:
wp-content/plugins/moreconvert-pro -> moreconvert-pro.disabled. - Временно ограничьте доступ к wp-admin для небольшого числа доверенных IP-адресов через .htaccess/nginx конфигурацию или панель управления хостингом.
- Смените пароли для всех административных аккаунтов и сбросьте любые секреты сайта (соли) в
wp-config.php: обновитьАВТОР_КЛЮЧ,SECURE_AUTH_KEY,ЗАШИФРОВАННЫЙ_КЛЮЧ,НОНС_КЛЮЧи их соли. - Просмотрите список пользователей на наличие неизвестных административных аккаунтов — НЕ удаляйте аккаунты, пока не соберете логи и доказательства; вместо этого отключите их или принудительно сбросьте пароли.
- Проверьте наличие подозрительных запланированных задач и удалите их, если они вредоносные.
- Карантин сайта (включите режим обслуживания или удалите из поиска), если вы подозреваете активное компрометирование, пока работаете над восстановлением.
Краткосрочные и среднесрочные меры (если вы не можете сразу установить патч)
Если обновление невозможно в течение нескольких часов, примените эти меры для снижения уязвимости:
- Правило WAF: Блокируйте неаутентифицированный доступ к уязвимым конечным точкам и блокируйте шаблоны, используемые для эксплуатации привилегированных действий. См. рекомендуемые правила ниже.
- Запретите доступ к конечным точкам админ AJAX / плагинов для пользователей, не вошедших в систему. На многих хостах вы можете заблокировать
/wp-admin/admin-ajax.phpPOST-запросы, которые не содержат куки для вошедшего пользователя. - Заблокируйте каталог плагина с помощью правил веб-сервера (запретите весь доступ к
/wp-content/plugins/moreconvert-pro/*) до тех пор, пока вы не сможете безопасно обновить. - Ограничьте доступ к REST конечным точкам по IP или требуйте аутентификацию для REST маршрутов, добавленных плагином, добавив
разрешение_обратного вызоваправило, которое требует аутентификации. - Ужесточите правила загрузки файлов: запретите выполнение PHP в каталогах загрузки и ограничьте MIME-типы.
- Включите многофакторную аутентификацию для всех администраторских аккаунтов, чтобы даже вновь созданные администраторы не могли быть использованы без второго фактора.
Рекомендуемые правила WAF для WP-Firewall (практические примеры)
Ниже приведены практические шаблоны правил, которые вы можете реализовать в WAF или движке правил сервера. Настройте пути и параметры для вашей среды.
Примечание: Замените любые шаблоны конечных точек-заполнителей на фактические конечные точки плагина, если они известны.
- Заблокируйте неаутентифицированный доступ к конечным точкам администрирования плагина (общие правила)
Условие: Запрос к/wp-admin/admin-ajax.phpИЛИ к путям под/wp-json/*которые ссылаются на плагин
И НЕТ куки аутентификации WordPress (wordpress_logged_in_*отсутствует)
Действие: Блокировать / 403 - Блокировать подозрительные полезные нагрузки, которые пытаются установить роли или создать пользователей
Условие: Тело запроса / запрос содержит параметр с именем, подобнымроль=администраторИЛИuser_role=администраторИЛИcreate_user=trueИЛИuser_login=админИЛИuser_pass=*
Действие: Блокировать и зарегистрировать - Запретить прямой доступ к файлам PHP плагина
Условие: URI запроса соответствует^/wp-content/plugins/moreconvert-pro/.*\.php$
Действие: Возвращать 403 для неадминистраторских IP (или для всех до исправления) - Обеспечить наличие WP nonce для ожидаемых действий
Условие: POST к admin‑ajax.php, где действие соответствует именам действий плагина И_wpnonceзаголовок/параметр отсутствует или недействителен
Действие: Блокировать - Ограничить количество вызовов к подозрительным конечным точкам
Условие: > X запросов к одной и той же конечной точке с одного IP за Y секунд
Действие: Ограничить / заблокировать - Блокировать подозрительные user-agent или известные подписи эксплойтов
Условие: UA соответствует общим значениям сканеров или полезные нагрузки содержат известные строки эксплойтов (например,eval(base64_decode
Действие: Блокировать, оповестить - Временное правило: запретить REST маршруты
Условие: URI начинается с/wp-json/moreconvert-proили/wp-json/moreconvert/*
Действие: 401 или 403
Пример (псевдозакон модбезопасности):
SecRule REQUEST_URI "@rx /wp-content/plugins/moreconvert-pro/|/wp-json/.+moreconvert" "id:100001,phase:1,t:none,deny,log,msg:'Блокировать доступ к конечным точкам MoreConvert Pro до исправления'"
Если вы используете управляемый WAF или плагин брандмауэра WP, вы можете добавить эти правила в качестве пользовательских сигнатур. Если вы используете серверные конфигурации, добавьте блоки местоположения в Nginx или Directory/FilesMatch в Apache для запрета доступа.
Полный контрольный список реагирования на инциденты (рекомендуемая последовательность)
- Триаж и сбор доказательств
- Сохраните журналы сервера (доступ, ошибки, PHP), охватывающие подозреваемый период компрометации.
- Экспортируйте базу данных и скопируйте файлы сайта в директорию карантина (только для чтения) для анализа.
- Запишите временные метки, IP-адреса, URI запросов и пользовательские агенты для подозрительной активности.
- Сдерживание
- Обновите плагин → 1.9.15 (если возможно).
- Если нет: отключите плагин или заблокируйте директорию плагина через правила веб-сервера/WAF.
- Отключите сайт, если обнаружена активная эксплуатация или массовое порчу.
- Устранение
- Удалите любые веб-оболочки, незнакомых администраторов и запланированные задачи, добавленные злоумышленником.
- Восстановите измененные файлы ядра/плагина/темы из чистой резервной копии или проверьте контрольные суммы с оригинальными пакетами плагинов/тем.
- Очистите вредоносные записи в базе данных (спам-посты, параметры).
- Восстановление
- Переустановите исправленный плагин из официального репозитория (или у поставщика).
- Смените все пароли администраторов и соли WordPress в
wp-config.php. - Переиздайте любые ключи API или токены, которые были раскрыты.
- Повторно проверьте права доступа к файлам и политики выполнения PHP в директориях загрузки.
- Укрепление и мониторинг после инцидента
- Включите 2FA для всех учетных записей администраторов.
- Ограничьте доступ к админской зоне по IP, если это возможно.
- Включите централизованный логгинг и мониторинг; создайте оповещения о подозрительном создании пользователей, изменениях файлов или массовом исходящем трафике.
- Проведите полный аудит/сканирование безопасности на наличие оставшихся бэкдоров.
- Уведомления и отчетность
- Если атака затронула данные пользователей, следуйте применимым требованиям раскрытия информации и юридическим требованиям.
- Сообщите своему хостинг-провайдеру (они могут помочь с локализацией сети).
- Поделитесь IoC с вашей командой безопасности или поставщиком реагирования на инциденты для помощи в обнаружении по всей вашей инфраструктуре.
Для разработчиков: как предотвратить подобные проблемы в будущем
Если вы создаете или поддерживаете плагины для WordPress, реализуйте следующие лучшие практики:
- Проверки возможностей: всегда проверяйте
текущий_пользователь_может()наличие конкретной возможности для любого действия, которое изменяет состояние сайта. Не предполагайте наличие админских прав по умолчанию. - Нонсы: реализуйте и проверяйте нонсы для форм и AJAX-запросов через
wp_verify_nonce(). Нонсы не являются единственной защитой, но являются сильной мерой против CSRF и скриптового злоупотребления. - Обратные вызовы разрешений REST: для маршрутов REST предоставьте правильный
разрешение_обратного вызовакоторый проверяет текущего пользователя и его возможности. - Избегайте раскрытия админской функциональности через общие конечные точки: размещайте привилегированную логику только за аутентифицированными конечными точками.
- Принцип наименьших привилегий: не выполняйте действия на уровне администратора, если код явно этого не требует; документируйте минимальные необходимые возможности.
- Проверка и очистка ввода: проверяйте и очищайте все входные данные. Никогда не доверяйте клиентскому вводу для назначения возможностей или ролей.
- Проверка безопасности: включите проверку безопасности и статический анализ кода плагина перед публикацией.
Хостеры и MSSP: как реагировать в масштабах
Крупные хостеры и провайдеры управляемых услуг нуждаются в планах действий для быстрого массового смягчения:
- Задержка обновлений плагинов на тысячах сайтов рискованна — рассмотрите возможность глобального развертывания правил WAF для блокировки сигнатуры уязвимости, а затем координируйте поэтапные обновления.
- Используйте блокировку на уровне сети для сигнатур эксплойтов и координируйте с владельцами сайтов применение обновлений плагинов.
- Обеспечьте автоматизированное сканирование для обнаружения наличия уязвимых версий плагинов и уведомляйте клиентов с четкими шагами по устранению.
- Предложите услуги экстренной изоляции (заморозка сайтов) для активно эксплуатируемых клиентов.
Контрольный список по усилению безопасности (долгосрочный)
- Держите ядро WordPress, темы и плагины в актуальном состоянии.
- Уменьшите след плагинов: деактивируйте и удалите неиспользуемые плагины.
- Применяйте надежные пароли, уникальные имена администраторов и двухфакторную аутентификацию.
- Ограничьте доступ администраторов только доверенным IP-адресам, где это возможно.
- Регулярно сканируйте файлы и базу данных на наличие аномалий.
- Запланируйте регулярные резервные копии и тестирование восстановления.
- Мониторьте попытки входа, изменения файлов и активность cron.
- Реализуйте стратегию белого списка для загрузки плагинов и типов файлов.
- Используйте управляемый брандмауэр/WAF с возможностью виртуального патчинга для немедленной защиты после раскрытия новых уязвимостей.
Вопросы по обнаружению и судебной экспертизе, которые следует задать
- Создавал ли злоумышленник новые учетные записи администратора? Если да, то когда и с каких IP-адресов?
- Были ли изменены какие-либо файлы плагинов или тем? Проверьте хеши коммитов или свежие загрузки для сравнения.
- Были ли изменены параметры базы данных или записи? Ищите подозрительное содержимое и внедренные скрипты.
- Были ли установлены исходящие соединения (обратные оболочки, обратные вызовы)? Проверьте сетевые журналы сервера.
- Есть ли постоянные запланированные задачи или задания cron, указывающие на неизвестные скрипты?
- Есть ли измененные соли WordPress или какие-либо доказательства
wp-config.phpвмешательства?
Соберите ответы и сохраните их как доказательства для восстановления и возможного раскрытия.
Пример: быстрый контрольный список для выполнения сейчас (копировать/вставить)
- Обновите MoreConvert Pro до 1.9.15 (или выше).
- Если вы не можете обновить немедленно: отключите плагин или заблокируйте
/wp-content/plugins/moreconvert-pro/*на уровне веб-сервера/WAF. - Смените все пароли администраторов и соли WordPress в
wp-config.php. - Проверьте наличие новых администраторов и неизвестных запланированных задач.
- Ищите в логах подозрительные POST/GET запросы, нацеленные на конечные точки плагина.
- Примените правило WAF, блокирующее неаутентифицированный доступ к конечным точкам плагина (см. правила выше).
- Если вы обнаружите компрометацию: сохраните логи, изолируйте сайт и следуйте контрольному списку реагирования на инциденты.
Почему управляемый брандмауэр важен
Когда раскрывается уязвимость высокой степени серьезности, скорость смягчения важнее всего. Управляемый брандмауэр веб-приложений позволяет вам:
- Мгновенно развертывать целевые правила блокировки на всех сайтах.
- Применять виртуальные патчи, пока авторы плагинов выпускают исправления.
- Уменьшить поверхность атаки, фильтруя вредоносные нагрузки до того, как они попадут в ваше приложение.
- Ограничить скорость и смягчить массовые попытки сканирования/эксплуатации.
Если вы отвечаете за один сайт или сотни, наличие надежного брандмауэра с возможностью добавления пользовательских правил и экстренных сигнатур значительно снижает ваш риск.
Зарегистрируйтесь на бесплатный план WP‑Firewall — Защитите свой сайт WordPress сейчас
Начните с базовой защиты — это бесплатно и мгновенно
Каждый сайт должен иметь базовый уровень защиты до того, как будет объявлена уязвимость с высоким риском. Наш бесплатный базовый план включает управляемый брандмауэр, WAF, неограниченную пропускную способность, сканер вредоносного ПО и покрытие по смягчению для распространенных рисков OWASP Top 10 — все, что вам нужно, чтобы уменьшить воздействие неаутентифицированных уязвимостей плагинов, таких как CVE‑2026‑5722. Зарегистрируйтесь сейчас и получите немедленную автоматизированную защиту, пока вы завершаете обновления и задачи по реагированию на инциденты: https://my.wp-firewall.com/buy/wp-firewall-free-plan/
Если вам нужна проактивная удаление и более строгий контроль, наши платные планы добавляют автоматическое удаление вредоносного ПО, черные/белые списки IP, ежемесячные отчеты и виртуальное патчирование, чтобы поддерживать безопасность сайтов между патчами от поставщиков.
Заключительные замечания
CVE‑2026‑5722 является классическим примером того, насколько критичными могут быть серьезные недостатки аутентификации. Исправление существует — немедленно обновите MoreConvert Pro до версии 1.9.15 или более поздней. Если вы не можете, примените правила WAF и смягчения, указанные выше, и следуйте контрольному списку реагирования на инциденты. Если вам нужна помощь, ваш хостинг-провайдер или квалифицированный консультант по безопасности WordPress могут помочь в локализации и устранении.
Если вы управляете или ведете сайты на WordPress, рассматривайте этот инцидент как напоминание о необходимости укрепить вашу среду, минимизировать количество плагинов, внедрить многофакторную аутентификацию и иметь проверенный план резервного копирования и восстановления.
Берегите себя и действуйте быстро. Период между раскрытием и массовой эксплуатацией короток — несколько часов могут стать разницей между чистым обновлением и полной компрометацией.
— Команда безопасности WP-Firewall
