Хакеры используют 0-day в плагине Easy WP SMTP для угона админ-аккаунта

Хакеры используют 0-day в плагине Easy WP SMTP для угона админ-аккаунта

Хакеры используют 0-day в плагине Easy WP SMTP для угона админ-аккаунта

Злоумышленники автоматизируют атаки на сайты WordPress, пытаясь сбросить пароль администратора с помощью эксплойта для уязвимости нулевого дня в плагине Easy WP SMTP. Заплатка для этой бреши уже выпущена, пользователям рекомендуется как можно скорее обновить расширение до сборки 1.4.4.

Плагин Easy WP SMTP призван обеспечить отправку email-сообщений с сайта через сторонний сервер SMTP. В настоящее время его используют более 500 тыс. сайтов на WordPress. Наличие уязвимости 0-day подтверждено для выпусков 1.4.2 и ниже.

Согласно описанию на сайте Ninja Technologies Network (NinTechNet), проблема вызвана ненадежным хранением записей о email-событиях. Функциональность Easy WP SMTP позволяет создавать такие записи в журнале отладки и сохранять их в папке установки плагина. Поскольку в этой папке отсутствует файл index.html (он был добавлен только в версии 1.4.3), злоумышленники имеют возможность просматривать связанные с email записи на серверах с включенной опцией вывода каталогов.

Авторы наблюдаемых атак вначале пытаются определить логин администратора перебором ходовых вариантов с использованием REST API либо путем просмотра архива авторов сайта. Получив искомое, они заходят на страницу регистрации и отсылают запрос на смену пароля. Поиск соответствующего события в логах Easy WP SMTP позволяет злоумышленникам скопировать ссылку для сброса пароля, сгенерированную в ответ на запрос, и использовать ее для захвата аккаунта.

 

Все действия в рамках этой схемы, по свидетельству NinTechNet, автоматизированы — и подбор логина, и отправка запроса на сброс пароля, и поиск нужной записи в логах. Разработчики Easy WP SMTP закрыли эту возможность, переместив журнал отладки в папку логов WordPress и скрыв имя файла.

На настоящий момент неизвестно, сколько сайтов уязвимо к эксплойту. Функция автообновления плагинов и тем WordPress уже доступна, но далеко не все ею пользуются. Ввиду текущих атак владельцев сайтов призывают проверить версию используемого Easy WP SMTP и при необходимости обновить его в кратчайшие сроки.

Жителю Кургана грозит штраф до 5 тысяч рублей за поиск запрещённой песни

В Кургане составили административный протокол на 19-летнего местного жителя, который нашёл в интернете композицию, признанную экстремистской, и прослушал её с помощью программы для обхода блокировок. Об этом сообщило региональное управление МВД.

По данным ведомства, которые передаёт РБК, молодой человек целенаправленно искал аудиозапись, запрещённую на территории России, а затем получил к ней доступ через специальное средство.

Название композиции и обстоятельства, при которых правоохранители узнали о прослушивании, в сообщении не раскрываются.

Протокол составили по статье 13.53 КоАП РФ — за поиск заведомо экстремистских материалов и получение доступа к ним. Для граждан она предусматривает штраф от 3 тыс. до 5 тыс. рублей.

Поправки, установившие ответственность за умышленный поиск таких материалов в интернете, в том числе через VPN, президент Владимир Путин подписал летом 2025 года.

К запрещённым относятся материалы из федерального списка Минюста, а также подпадающие под определение закона «О противодействии экстремистской деятельности». Сейчас реестр включает около 5,5 тыс. позиций.

Ключевым условием ответственности является заведомость: речь идёт не о случайно открытой странице или неожиданно заигравшем треке, а об осознанном поиске материала, о запрете которого пользователю известно. Как именно это намерение доказывалось в курганском деле, МВД не уточнило.

RSS: Новости на портале Anti-Malware.ru