Lỗ hổng WooCommerce Wholesale Lead Capture bị khai thác để cài web shell PHP
"Attackers are actively exploiting a critical arbitrary file upload flaw in the WooCommerce Wholesale Lead Capture WordPress plugin (CVE-2026-27540, CVSS 9.8), allowing unauthenticated uploads of PHP web shells and potential remote code execution. The issue affects plugin versions up to 2.0.3.1 and has been patched by the vendor; site owners are advised to look for suspicious PHP files and malicious admin-ajax requests. The article also notes two separately disclosed critical unauthenticated RCE vulnerabilities in The Events Calendar (CVE-2026-78159 and CVE-2026-78006), fixed in versions 6.17.3.1 and 6.17.4.1."
Rủi ro thực thi mã từ xa và chiếm quyền điều khiển website nếu hệ thống chưa vá; cần ưu tiên kiểm tra dấu hiệu web shell PHP và lưu lượng bất thường.
Có thể gây gián đoạn dịch vụ, rò rỉ dữ liệu và phát tán mã độc trên website WordPress; ảnh hưởng đáng kể tới vận hành nếu site xử lý khách hàng hoặc bán hàng.
Các tác nhân tấn công đang khai thác CVE-2026-27540 trong plugin WordPress WooCommerce Wholesale Lead Capture để tải lên tệp tùy ý, bao gồm PHP web shell, từ đó có thể dẫn tới thực thi mã từ xa. Lỗ hổng này có điểm CVSS 9.8 và ảnh hưởng đến các phiên bản đến 2.0.3.1. Theo ghi nhận, đã có hơn 100.000 lần khai thác bị chặn kể từ tháng 6/2026, trong đó 99 lượt trong 24 giờ gần nhất.
Nguyên nhân là thiếu kiểm tra kiểu tệp trong hành động AJAX wwlc_file_upload_handler. Kẻ tấn công gửi yêu cầu được tạo sẵn với tham số file_settings giả mạo và tệp PHP độc hại như shell.php. Sau khi tải lên thành công, web shell có thể hiển thị thông tin máy chủ và cho phép tải thêm tệp độc hại.
Quản trị viên nên cập nhật plugin lên bản đã vá, rà soát thư mục uploads để tìm các tệp .php bất thường, và kiểm tra nhật ký truy cập tới /wp-admin/admin-ajax.php với tham số wwlc_file_upload_handler. Ngoài ra, bài viết cũng nêu hai lỗ hổng nghiêm trọng khác trong The Events Calendar: CVE-2026-78159 và CVE-2026-78006, đã được khắc phục ở các phiên bản 6.17.3.1 và 6.17.4.1.