نحوه سوءاستفاده از آسیب‌پذیری ووکامرس
مهاجم با سوءاستفاده از آسیب‌پذیری CVE-2026-27540 می‌تواند وب‌شل‌های PHP (Webshell) را روی سایت آپلود کرده و کد دلخواه خود را اجرا کند؛ حمله‌ای که در صورت موفقیت، می‌تواند کنترل کامل سایت را در اختیار مهاجم قرار دهد.
از نظر فنی، منشأ این آسیب‌پذیری به یک عملیات AJAX بدون احراز هویت با نام wwlc_file_upload_handler در پلاگین ووکامرس بازمی‌گردد. این عملیات، پسوند فایل‌های قابل آپلود را با یک فهرست مجاز (Allowlist) تطبیق می‌دهد؛ فهرستی که از طریق پارامتر file_settings و تحت کنترل کاربر تعیین می‌شود.
مهاجم با دستکاری این پارامتر می‌تواند پسوند php را به فهرست فایل‌های مجاز اضافه کند. در نتیجه، پلاگین آپلود فایل‌های اجرایی PHP را نیز می‌پذیرد و مهاجم می‌تواند یک وب‌شل مخرب را روی سایت آپلود کرده و از آن برای اجرای کد دلخواه و پیشبرد حمله استفاده کند.
انتشار نسخه پچ شده پلاگین
پچ امنیتی این آسیب‌پذیری در نسخه 2.0.3.2 پلاگین WooCommerce Wholesale Lead Capture در تاریخ 20 فوریه منتشر شد.
با وجود انتشار این پچ، حملات همچنان ادامه دارند. شرکت امنیتی Defiant هشدار داده است که فایروال اپلیکیشن وب Wordfence (WAF) تاکنون بیش از 100 هزار حمله مرتبط با CVE-2026-27540 را مسدود کرده است. این آمار نشان می‌دهد تلاش برای سوءاستفاده از این آسیب‌پذیری در پلاگین ووکامرس همچنان ادامه دارد.
بر اساس گزارش Wordfence، تلاش مهاجمان برای سوءاستفاده از این آسیب‌پذیری بین 4 تا 17 ژوئن به‌طور چشمگیری افزایش یافته است. فعالیت مهاجمان در 1 جولای و 30 آگوست نیز افزایش محسوسی داشته است.
آپلود وب‌شل در حملات به سایت‌های ووکامرس
در جریان حمله، مهاجمان یک وب‌شل را روی سایت آپلود می‌کنند. این وب‌شل علاوه بر شناسایی محیط هدف، امکان استقرار پیلودهای مخرب بیشتر را نیز برای مهاجمان فراهم می‌کند.
به گفته Wordfence، مهاجم درخواستی را به عملیات AJAX با نام wwlc_file_upload_handler در ووکامرس ارسال می‌کند که در آن، یک پارامتر جعلی file_settings و یک فایل مخرب با پسوند .phpقرار دارد.
فایل shell.php که روی سایت آپلود می‌شود، یک وب‌شل PHP است که اطلاعات مربوط به میزبان را جمع‌آوری کرده و برای مهاجم ارسال می‌کند. همچنین، این فایل یک فرم آپلود مبتنی بر مرورگر (Browser-Based Upload Form) در اختیار مهاجم قرار می‌دهد تا بتواند فایل‌های مخرب بیشتری را روی سایت ایجاد و آپلود کند.
اقدامات امنیتی پس از شناسایی نفوذ در سایت
Wordfence فهرستی از آدرس‌های IP فعال در حملات منتشر کرده که ده‌ها هزار تلاش برای سوءاستفاده از این آسیب‌پذیری از طریق آن‌ها ثبت شده است. به مدیران سایت‌ها توصیه می‌شود این IPها را در بلاک‌لیست (Blocklist) قرار دهند و پلاگین را به نسخه 2.0.3.2 یا جدیدتر به‌روزرسانی کنند؛ این نسخه آسیب‌پذیری موردنظر را پچ کرده است.همچنین پژوهشگران توصیه می‌کنند مدیران سایت‌های ووکامرس اقدامات زیر را انجام دهند:
- دایرکتوری‌های آپلود را برای شناسایی فایل‌های PHP غیرعادی یا فایل‌هایی که به‌تازگی ایجاد شده‌اند، بررسی کنند.
- لاگ‌ها را برای شناسایی درخواست‌هایی به مسیر /wp-admin/admin-ajax.php بررسی کنند که در آن‌ها عملیات wwlc_file_upload_handler فراخوانی شده است.
- حساب‌های کاربری Administrator ناشناخته را شناسایی و حذف کنند.
در صورت تأیید نفوذ، بهتر است سایت از یک نسخه پشتیبان سالم بازیابی شود. زیرا شناسایی و حذف کامل تمامی مکانیزم‌های پایداری (Persistence)، حساب‌های کاربری و بکدورهای ایجادشده توسط مهاجم ممکن است دشوار و زمان‌بر باشد.
