Автор: Serhii Leonchenko
Chief Operating Officer at TrafficUltras
Команды по кибербезопасности обнаружили критическую уязвимость в плагине All-in-One WP Migration, который крутится более чем на пяти миллионах сайтов под управлением WordPress.Проблема затрагивает логику импорта и бэкапов: через манипуляции с параметрами плагина атакующие вытаскивают секретные токены и получают полный контроль над ресурсом без стандартного брутфорса паролей от админки.
Для SEO-команд и медиабайеров, которые используют плагин для быстрого клонирования прелендингов, витрин и PBN-сеток, брешь несет прямую угрозу перехвата всего рабочего пула доменов.
Механика взлома и захват управления
Вектор атаки бьет в самый уязвимый узел плагина — механизм валидации прав при фоновом импорте архивов:
Злоумышленники эксплуатируют уязвимость в обработчике запросов и перехватывают секретный мастер-ключ импорта (Import Key), формируемый во время рутинных процедур бэкапа.
Используя полученный ключ в обход стандартной авторизации WordPress, атакующий удаленно отправляет на сервер собственный вредоносный архив с расширением .wpress.
Плагин распаковывает архив, заменяя базу данных сайта и перезаписывая системные файлы ядра.
Внедренный PHP-код мгновенно генерирует скрытого пользователя с максимальными правами администратора, подчищая системные логи.
Владелец сайта не получает никаких уведомлений о входе с нового IP: процесс выглядит в панели как стандартная фоновая процедура синхронизации данных.
Угроза для арбитражных PBN и централизованных панелей
Основной удар приходится по вебмастерам, автоматизирующим управление инфраструктурой через MainWP, WP Umbrella или аналогичные софты. В таких сетапах плагин миграции часто висит активным годами, чтобы лид-разработчик мог за пару минут накатить свежий шаблон или клонировать удачный обзорник под белое SEO.
Компрометация мастер-ключа в подобных условиях разворачивается лавинообразно:
Хакеры сканируют серверы на наличие открытых эндпоинтов плагина и выгружают конфигурации целыми подсетями.
В централизованных сетках заражение одного хоста быстро перекидывается на смежные сайты через сохраненные ключи синхронизации.
Под раздачу попадают готовые связки: контентные витрины под гемблинг, ревью-сайты под нутру и белые товарные прокладки.
Хостинг-провайдеры блокируют учетные записи за рассылку спама или размещение фишинга еще до того, как вебмастер обнаружит сторонний код в файлах.
Сетка из сотен доменов, на построение которой ушли месяцы работы и тысячи долларов на дропы,фактически переходит под контроль посторонних за пару кликов.
Тихий Cookie Stuffing и увод лидов
Самая опасная деталь инцидента заключается в том, что сайты не падают с ошибками и не меняют внешний вид. Хакеры не стремятся повесить дефейс или сломать верстку. Вместо этого в шаблон внедряются скрипты скрытого Cookie Stuffing и динамической подмены партнерских идентификаторов.
Когда на сайт заходит реальный покупатель с поисковой выдачи или рекламной кампании в Facebook, вредоносный код прямо на лету заменяет реферальные метки арбитражника на партнерские ID злоумышленников. Владелец продолжает оплачивать домены, серверы и контекстную рекламу, наблюдая стабильный трафик в метрике, пока первые депозиты и подтвержденные CPA-лиды молча падают на балансы хакерских кошельков.
Экстренный протокол защиты сетки
Чтобы обезопасить сайты от взлома и прекратить утечку профита, техническим специалистам команд необходимо выполнить жесткую последовательность действий:
Срочно обновить All-in-One WP Migration и все его расширения до актуальной версии с официальным патчем безопасности, либо полностью деактивировать и удалить плагин с серверов сразу после завершения миграции.
Проверить базу данных на наличие скрытых администраторов через WP-CLI или прямым запросом к таблице wp_users и wp_usermeta.
Сверить контрольные суммы файлов ядра WordPress и активных тем с официальным репозиторием, чтобы исключить оставленные веб-шеллы.
Сменить все секретные ключи авторизации (SALT) в файле wp-config.php, принудительно сбросив активные сессии всех пользователей.
Настроить на уровне Cloudflare WAF правила, полностью блокирующие доступ к папке wp-content/ai1wm-backups и запрещающие прямые POST-запросы к обработчикам плагина с внешних IP.
В арбитражной инфраструктуре плагины для бэкапов должны оставаться одноразовым инструментом: оставлять их включенными на боевых доменах означает добровольно отдавать ключи от своего трафика в чужие руки.
Комментарий автора:
Ситуация лишний раз подчеркивает уязвимость распределенных PBN-сеток, где технический долг и банальная лень админов перечеркивают месяцы работы над позициями в выдаче. В современных реалиях централизованные панели без изоляции доступов становятся главной точкой отказа для всего манимейкинга, превращая любую найденную CVE в гарантированный слив чужого трафика.
Автор: Serhii Leonchenko
Chief Operating Officer at TrafficUltras
👉🏻Следите за новостями в нашем telegram-канале — Новости Арбитража.
Комментариев пока нет. Начните обсуждение.