Backdoor w popularnej wtyczce WordPress: co pokazuje przypadek ARVE

28 lipca 2026 roku firma Wordfence poinformowała, że w oficjalnym repozytorium WordPress.org pojawiła się zainfekowana wersja wtyczki Advanced Responsive Video Embedder (ARVE) – wtyczki do osadzania filmów z YouTube, Vimeo, Rumble i innych serwisów, zainstalowanej na około 20 tysiącach stron. Wersja 10.8.7 zawierała ukryty backdoor, oznaczony jako CVE-2026-18072, z oceną krytyczności 9,8 na 10.

Złośliwy kod trafił do funkcji podpiętej pod wczesny etap ładowania WordPressa (hook init), której nazwa sugerowała zwykłe sprawdzanie aktualizacji, co miało utrudnić wykrycie. W praktyce funkcja porównywała wartość parametru w żądaniu HTTP z hashem zapisanym na stałe w kodzie. Gdy wartości się zgadzały, mechanizm samodzielnie wybierał istniejące konto administratora na stronie i logował do niego atakującego – bez hasła, bez dwuetapowej weryfikacji, jednym żądaniem HTTP. Kod wysyłał też adres strony i nazwę konta administratora na zewnętrzny serwer kontrolowany przez atakującego.

System PRISM Wordfence, oparty na analizie AI, wykrył złośliwy kod niespełna dwie godziny po jego wprowadzeniu. Zespół WordPress.org tego samego dnia zablokował pobieranie wtyczki z repozytorium. To ograniczyło skalę problemu, ale nie wyklucza, że część z 20 tysięcy instalacji zdążyła pobrać zainfekowaną wersję, zanim ją wycofano.

Dla kogoś, kto prowadzi stronę na WordPressie, ten przypadek jest ważniejszy niż zwykła „luka w pluginie”. To atak na sam łańcuch dostaw – kod trafił do legalnego, zaufanego kanału dystrybucji, najprawdopodobniej przez przejęte konto autora wtyczki. Automatyczne aktualizacje, które normalnie są dobrą praktyką, w tym scenariuszu same stały się wektorem ataku.

Co warto zrobić, jeśli masz zainstalowaną ARVE: usunąć wtyczkę, nie tylko ją dezaktywować, wymienić klucze bezpieczeństwa WordPressa zdefiniowane w wp-config.php (tzw. salts), przejrzeć listę kont administratorskich pod kątem nieznanych wpisów, wylogować wszystkie aktywne sesje i sprawdzić pliki oraz bazę danych pod kątem dodatkowych furtek – backdoor tego typu rzadko jest jedynym śladem po włamaniu.

Szerzej: ten incydent pokazuje, dlaczego skanowanie plików i monitorowanie integralności po stronie hostingu to nie jest marketingowy dodatek, tylko realna warstwa ochrony, której sam WordPress nie zapewnia. To jedna z rzeczy, które sprawdzamy w naszych testach hostingów – warto zerknąć, czy dostawca, z którego korzystasz, w ogóle to oferuje. Aktualny ranking znajdziesz na stronie głównej.