Критическая уязвимость в популярном плагине CleanTalk для WordPress позволяет злоумышленникам устанавливать произвольные плагины через подмену DNS

Безопасность сотен тысяч сайтов на популярной платформе WordPress оказалась под угрозой из-за критической уязвимости в плагине для борьбы со спамом CleanTalk Spam Protection. Обнаруженная проблема, получившая идентификатор CVE-2026-1490, позволяет неавторизованным злоумышленникам полностью обходить процедуры проверки подлинности и устанавливать на сайт любые плагины из официального репозитория. Это событие важно не только для администраторов сайтов, но и для всей экосистемы WordPress, поскольку демонстрирует, как ошибка в механизме доверия к сетевым данным может привести к катастрофическим последствиям, включая полный захват контроля над ресурсом. В свою очередь, для бизнеса, использующего WordPress, это означает прямой риск компрометации данных клиентов, дефейса и финансовых потерь.

Детали уязвимости

Суть уязвимости, оцененной по шкале CVSS на рекордные 9.8 баллов, заключается в некорректной реализации функции проверки подлинности. А именно, функция "checkWithoutToken" внутри плагина для подтверждения легитимности входящих запросов ошибочно полагается на механизм обратного преобразования DNS, известный как Reverse DNS или PTR-запись. В безопасной архитектуре для таких целей должны использоваться криптографические токены или строгие проверки на стороне сервера. Однако в данном случае плагин доверяет DNS-записям, которые могут быть легко сфальсифицированы. Злоумышленник, подделав PTR-запись, может заставить сервер жертвы поверить, что его запрос пришел с доверенного сервера самого CleanTalk.

Успешная эксплуатация данной уязвимости предоставляет атакующему значительные привилегии. Обойдя авторизацию, он получает возможность инициировать установку и активацию любого плагина через административный интерфейс WordPress. Это создает прямой путь к удаленному выполнению кода, что является одной из наиболее опасных угроз. На практике злоумышленники используют эту возможность для установки либо плагинов с уже известными уязвимостями, либо откровенно вредоносных расширений. Такие инструменты позволяют выполнять произвольные команды на сервере, модифицировать файлы, в том числе ядра WordPress, и похищать конфиденциальные данные из базы, такие как пароли пользователей, платежная информация или персональные данные клиентов.

Важно отметить, что для атаки необходимо соблюдение специфического условия: плагин CleanTalk должен быть установлен на сайте, но при этом в его настройках должен быть указан недействительный или просроченный API-ключ. Такая ситуация часто возникает на тестовых или разработческих стендах, заброшенных проектах, а также на сайтах, где подписка на сервис CleanTalk истекла, но сам плагин не был деактивирован или удален. Несмотря на это ограничение, уязвимость остается критической из-за крайне низкой сложности эксплуатации - атака не требует от злоумышленника специальных знаний о целевом сайте и не нуждается во взаимодействии с пользователем.

С точки зрения последствий, инцидент может привести к целому каскаду проблем. Помимо непосредственного удаленного выполнения кода и установки бэкдоров, атакующий может использовать скомпрометированный сайт для распространения вредоносного ПО среди его посетителей, организации фишинговых кампаний или включения ресурса в ботнет. Для компаний это грозит операционными простоями, репутационным ущербом и потенциальными штрафами за утечку данных в рамках регуляторных требований, таких как 152-ФЗ или GDPR.

Уязвимость была обнаружена и ответственно раскрыта исследователем Нгуен Нгок Даком (duc193), а ее публичное описание появилось 14 февраля 2026 года. Команда разработчиков CleanTalk оперативно отреагировала на угрозу и выпустила патч в версии плагина 6.72. Всем администраторам сайтов настоятельно рекомендуется немедленно проверить текущую установленную версию и обновить ее до актуальной. В качестве дополнительных мер защиты специалистам по информационной безопасности следует провести инвентаризацию всех веб-ресурсов на предмет наличия устаревших плагинов, особенно в неактивных или тестовых окружениях. Кроме того, необходимо обеспечить строгий контроль за жизненным циклом подписок на сторонние сервисы и своевременно отключать или удалять неиспользуемые компоненты. Регулярный аудит журналов событий и мониторинг необычной активности, такой как попытки установки плагинов не из административного интерфейса, также помогут в раннем обнаружении подобных инцидентов.

Детали уязвимости

Ссылки