Elementor Pro: критическая уязвимость с активной эксплуатацией

Утром попалось на глаза — Wordfence сообщила, что уязвимость в Elementor Pro активно эксплуатируется. Плагин с более чем шестью миллионами установок получил критическую уязвимость: неаутентифицированные злоумышленники могут загружать произвольные файлы, включая .php, через форму с полем загрузки, если оно не помечено как обязательное. Это позволяет получить полный контроль над сайтом. Патч вышел в версии 4.2.2, а атаки начались в день объявления уязвимости. За несколько дней Firewall заблокировал более 190 тысяч попыток. Среди самых активных IP — несколько с разных стран, в том числе с IPv6. П

Считаю, что главная угроза здесь — не сама уязвимость, а то, что она активно используется уже с первого дня. Это не теория, а реальная атака, и она идёт массово. Если сайт использует Elementor Pro и не обновлён — он в зоне риска. Даже если у вас нет формы с загрузкой файлов, проверка не лишняя: боты сканируют все возможные точки входа. Главное — не ждать, пока сайт упадёт, а закрыть уязвимость до того, как её обнаружат.

На мой взгляд, важнее другое: даже если защита включена, она не спасёт, если не закрыть причину. Загружать файлы в папку, где может быть PHP, — это риск. Надо не только обновлять, но и проверять, нет ли уже в этой папке .php-файлов. У меня уже в плане — проверить у всех клиентов, кто использует Elementor Pro, и включить защиту от выполнения кода в папке загрузок. Это не отменяет обновления, но добавляет слой.

Я уже начал обновлять WordPress у своих клиентов, где установлен Elementor Pro. Проверяю, какие версии используются, и ставлю в план на неделю обновление. У тех, у кого включён Wordfence, защита есть — но она не заменяет проактивные действия. Надо не только блокировать, но и убирать следы. Если файл уже загружен — его надо найти, удалить, а уязвимость закрыть. Иначе вернётся.