Хакеры используют 0-day в плагине Easy WP SMTP для угона админ-аккаунта

Хакеры используют 0-day в плагине Easy WP SMTP для угона админ-аккаунта

Хакеры используют 0-day в плагине Easy WP SMTP для угона админ-аккаунта

Злоумышленники автоматизируют атаки на сайты WordPress, пытаясь сбросить пароль администратора с помощью эксплойта для уязвимости нулевого дня в плагине Easy WP SMTP. Заплатка для этой бреши уже выпущена, пользователям рекомендуется как можно скорее обновить расширение до сборки 1.4.4.

Плагин Easy WP SMTP призван обеспечить отправку email-сообщений с сайта через сторонний сервер SMTP. В настоящее время его используют более 500 тыс. сайтов на WordPress. Наличие уязвимости 0-day подтверждено для выпусков 1.4.2 и ниже.

Согласно описанию на сайте Ninja Technologies Network (NinTechNet), проблема вызвана ненадежным хранением записей о email-событиях. Функциональность Easy WP SMTP позволяет создавать такие записи в журнале отладки и сохранять их в папке установки плагина. Поскольку в этой папке отсутствует файл index.html (он был добавлен только в версии 1.4.3), злоумышленники имеют возможность просматривать связанные с email записи на серверах с включенной опцией вывода каталогов.

Авторы наблюдаемых атак вначале пытаются определить логин администратора перебором ходовых вариантов с использованием REST API либо путем просмотра архива авторов сайта. Получив искомое, они заходят на страницу регистрации и отсылают запрос на смену пароля. Поиск соответствующего события в логах Easy WP SMTP позволяет злоумышленникам скопировать ссылку для сброса пароля, сгенерированную в ответ на запрос, и использовать ее для захвата аккаунта.

 

Все действия в рамках этой схемы, по свидетельству NinTechNet, автоматизированы — и подбор логина, и отправка запроса на сброс пароля, и поиск нужной записи в логах. Разработчики Easy WP SMTP закрыли эту возможность, переместив журнал отладки в папку логов WordPress и скрыв имя файла.

На настоящий момент неизвестно, сколько сайтов уязвимо к эксплойту. Функция автообновления плагинов и тем WordPress уже доступна, но далеко не все ею пользуются. Ввиду текущих атак владельцев сайтов призывают проверить версию используемого Easy WP SMTP и при необходимости обновить его в кратчайшие сроки.

Российским операторам разрешат запускать 5G на оборудовании для 4G

«Билайн», «Мегафон», МТС и Т2 смогут разворачивать сети 5G на уже работающих базовых станциях и частотах, ранее выделенных под LTE. Соответствующий проект Минцифры подготовило для Государственной комиссии по радиочастотам после обсуждения с операторами и ведомствами.

Ключевое слово — технологическая нейтральность. Операторы получат право использовать для 5G имеющиеся диапазоны 4G, а также действующее иностранное оборудование, установленное до 1 сентября 2026 года.

Это позволит не ждать полного строительства новой инфраструктуры и запустить связь пятого поколения значительно быстрее.

Дополнительно операторам планируют выделить полосы в диапазоне 4,63-4,99 ГГц. Они предназначены для высокопроизводительных сетей и новых сервисов, включая промышленные решения. Правда, чудес с покрытием ждать не стоит: такие частоты обеспечивают высокую скорость, но хуже распространяются на большие расстояния и через препятствия.

Первые коммерческие услуги 5G должны появиться в городах с населением более миллиона человек не позднее 31 декабря 2027 года. До 2031-го сети в новом диапазоне будут поэтапно разворачивать в наиболее популярных локациях мегаполисов. Сначала пятое поколение доберётся до центров городов, деловых кварталов и мест с высокой нагрузкой, а уже потом, возможно, и до остальных.

Одновременно с 2027 года начнётся переход на российские базовые станции. Полностью завершить его операторы должны до конца 2031-го.

Таким образом, отечественный 5G стартует не с чистого листа, а на плечах существующих сетей и иностранного железа. Зато ждать идеального технологического будущего ещё пять лет не придётся: сначала запустят как есть, а импортозамещать будут уже по дороге.

RSS: Новости на портале Anti-Malware.ru