Krytyczna luka w Everest Forms: 100 tysięcy stron WordPress narażonych na przejęcie

Krytyczna luka w Everest Forms – ponad 100 tysięcy stron WordPress narażonych na przejęcie

Pod koniec sierpnia 2026 roku badacze bezpieczeństwa ujawnili krytyczną lukę w Everest Forms, jednej z popularniejszych wtyczek do budowania formularzy na WordPressie. Błąd oznaczony jako CVE-2026-19598 otrzymał ocenę 9.8 w skali CVSS – to praktycznie maksimum. Dotyczy wersji Everest Forms sprzed 3.0.9.5 i według dostępnych danych naraża ponad 100 tysięcy aktywnych instalacji.

Problem tkwi w mechanizmie obsługi przesyłania plików w formularzach (klasa EVF_Form_Fields_Upload). Wtyczka niewystarczająco sprawdzała typ i ścieżkę przesyłanego pliku, więc atakujący – bez logowania się do strony, bez konta administratora, bez żadnych uprawnień – mógł wysłać spreparowany plik PHP przez zwykły formularz kontaktowy z opcją załącznika. Serwer, zamiast potraktować go jak zdjęcie czy PDF, mógł go wykonać jak skrypt. To otwiera drogę do tak zwanego web shella, czyli furtki dającej pełną kontrolę nad stroną: podmianę treści, wysyłkę spamu, wykorzystanie serwera do dalszych ataków albo zwykłą kradzież danych.

Dlaczego to ważne akurat teraz. Luki tego typu – dotyczące przesyłania plików bez uwierzytelnienia – są jednymi z najchętniej wykorzystywanych przez zautomatyzowane boty skanujące internet. Nie trzeba nikogo oszukiwać phishingiem ani czekać, aż ktoś kliknie zły link – wystarczy, że strona ma wtyczkę w podatnej wersji i widoczny formularz z uploadem. Od publikacji szczegółów luki do masowego skanowania mija zwykle kilka godzin, nie dni.

Co realnie sprawdzić, jeśli masz WordPressa z Everest Forms. Numer wersji wtyczki w panelu – wszystko poniżej 3.0.9.5 kwalifikuje się do natychmiastowej aktualizacji. Jeśli aktualizacja z jakiegoś powodu nie jest możliwa od razu, sensowne jest tymczasowe wyłączenie formularzy z opcją załącznika albo samej wtyczki, dopóki update się nie odbędzie. Warto też rzucić okiem na katalog uploads pod kątem plików .php, których tam być nie powinno – to typowy ślad po tego rodzaju ataku.

Ten przypadek pokazuje coś, co widzimy też w naszych codziennych testach: sama jakość hostingu nie chroni przed dziurawą wtyczką. Dobry hosting ograniczy skutki, na przykład izolacją kont czy skanowaniem malware, ale odpowiedzialność za aktualne wtyczki zawsze spoczywa po stronie właściciela strony. Metodologię, według której oceniamy hosting pod kątem takich rzeczy jak reakcja supportu czy zabezpieczenia po stronie serwera, opisujemy szczegółowo na stronie jak testujemy, a pełne, aktualne wyniki znajdziesz w rankingu.