5 млн сайтов под угрозой из-за SQL-инъекции в плагине All-in-One WP Migration

Обсуждали с коллегами статью про уязвимость в плагине All-in-One WP Migration — она затрагивает миллионы сайтов. Проблема в том, что злоумышленник без авторизации может подставить вредоносный код через трекбэк, который позже выполнится при восстановлении архива администратором. Это вторичный SQL-инъекция, итог — полный контроль над сайтом. Уязвимость исправлена в версии 7.110, но пока не все обновились.

Читал, как Wordfence сообщила, что уязвимость в All-in-One WP Migration и Backup (до 7.109) позволяет неавторизованным злоумышленникам получить доступ к секретному ключу через трекбэки. Затем, при восстановлении резервной копии, этот ключ используется для прямого доступа к импорту — и далее — к выполнению произвольного кода. Это не просто утечка, это вход в систему без пароля.

Считаю, что самое опасное здесь — не сама уязвимость, а то, что она скрыта: вредоносный код не висит на сайте, он лежит в базе, ждёт, пока админ не нажмёт «восстановить». Пока сайт не тронут — выглядит чистым. Но как только восстановление начнётся — всё рушится. Это не просто «вирус», это ловушка.

Я уже проверил у своих клиентов, кто использует этот плагин. У кого не обновлён — отмечаю в плане на неделю. У тех, кто на поддержке, обновление идёт автоматически. Пока не трогаю других, но следим за активностью. Главное — не ждать, пока начнётся атака, а закрыть дыру до того, как её найдут.