توزیع نسخه مخرب پلاگین Admin Menu Editor Pro
طبق اعلام Janis Elsts، توسعه‌دهنده پلاگین Admin Menu Editor Pro، یک فرد غیرمجاز در تاریخ در 14 سپتامبر 2026 به وب‌سایت adminmenueditor.com دسترسی پیدا کرد و نسخه 2.35 را به‌عنوان به‌روزرسانی نسخه Pro در اختیار کاربران قرار داد. این به‌روزرسانی شامل فایل includes/wp-user-consent.php بود که با نصب یک وب‌شل روی سایت‌های تحت تأثیر، امکان دسترسی غیرمجاز به آن‌ها را فراهم می‌کرد.
Elsts پس از شناسایی نفوذ، نسخه مخرب را از سایت حذف کرد و همان روز، ساعت 19:00 به وقت UTC، نسخه 2.36 را منتشر کرد. بااین‌حال، مهاجم همچنان به وب‌سایت دسترسی داشت و نسخه جدید را نیز دستکاری کرد.
قابلیت‌های پلاگین Admin Menu Editor Pro
پلاگین Admin Menu Editor Pro نسخه پریمیوم Admin Menu Editor است. این پلاگین وردپرسی روی بیش از 300 هزار سایت نصب شده و قابلیت‌های مختلفی برای مدیریت داشبورد و دسترسی کاربران ارائه می‌دهد:
- شخصی‌سازی منوی داشبورد
- مخفی کردن پلاگین‌ها از دید سایر کاربران
- تعیین سطح دسترسی بر اساس نقش کاربری
- تنظیم ریدایرکت (Redirect) برای ورود و خروج کاربران
نسخه مخرب 2.35 چه زمانی در دسترس کاربران قرار گرفت؟
طبق اعلام توسعه‌دهنده، نسخه مخرب 2.35 پلاگین Admin Menu Editor Pro، حدود ساعت 06:00 تا 13:00 به وقت UTC روی وب‌سایت رسمی در دسترس کاربران قرار داشت. کد مخرب PHP موجود در این نسخه علاوه بر نصب وب‌شل، یک حساب کاربری مخفی نیز روی سایت ایجاد می‌کرد.
بررسی لاگ‌های سرور به‌روزرسانی نشان می‌دهد دست‌کم 230 مشتری نسخه مخرب را دریافت کرده‌اند و این نسخه روی حداقل 1500 سایت تحت مدیریت آن‌ها نصب شده است. در بسیاری از موارد، هر مشتری چندین سایت را مدیریت می‌کرد و به همین دلیل تعداد سایت‌های تحت تأثیر از تعداد مشتریان بیشتر بوده است.
بااین‌حال، دامنه واقعی آلودگی ممکن است گسترده‌تر از این آمار باشد. شناسایی تعداد دقیق مشتریانی که نسخه دستکاری‌شده 2.36 را نصب و اجرا کرده‌اند، همچنان دشوار است. چند صد مشتری دیگر نیز در همین بازه زمانی یا روزهای نزدیک به آن، این پلاگین را دانلود کرده‌اند. بنابراین، احتمال دارد سایت‌های تحت مدیریت این افراد نیز تحت تأثیر نسخه مخرب قرار گرفته باشند.
چگونه سایت‌های آلوده را شناسایی و پاک‌سازی کنیم؟
بررسی‌ها نشان می‌دهد مهاجم احتمالاً به سطح دسترسی Root در سرور دست یافته بود. به همین دلیل، توسعه‌دهنده پلاگین برای محافظت از مشتریان، وب‌سایت را تا زمان اطمینان از امکان بازیابی ایمن، از دسترس خارج کرد.
همچنین توسعه‌دهنده یک صفحه اختصاصی برای ارائه جزئیات رخداد، روش بررسی سایت‌های تحت تأثیر و توصیه‌های لازم برای بازگردانی ایمن سایت‌های آلوده ایجاد کرده است.
کاربرانی که نسخه‌های 2.35 یا 2.36 پلاگین Admin Menu Editor Pro را نصب کرده‌اند، باید سایت خود را از نظر وجود نشانه‌های زیر بررسی کنند:
- وجود فایل includes/wp-user-consent.php در مسیر پلاگین admin-menu-editor-pro
- ایجاد دایرکتوری جدید /wp-content/object-cache/
- وجود حساب کاربری با پیشوند wp_ در جدول wp_users. این حساب ممکن است در داشبورد وردپرس نمایش داده نشود.
- وجود گزینه‌هایی با نام مشابه wp_ocache در جدول wp_options
نسخه 2.34 سالم است و به نظر می‌رسد نسخه رایگان Admin Menu Editor نیز تحت تأثیر این حمله قرار نگرفته باشد.
به گفته Elsts، مطمئن‌ترین راه برای پاک‌سازی سایت‌های تحت تأثیر، بازگردانی آن‌ها با استفاده از یک نسخه پشتیبان سالم است که پیش از 14 سپتامبر تهیه شده باشد. اگر چنین نسخه‌ای در دسترس نباشد، باید پلاگین، دایرکتوری /wp-content/object-cache/ و حساب‌های کاربری و گزینه‌های مشکوک مرتبط را از پایگاه داده حذف کرد.
همچنین توسعه‌دهنده اعلام کرده است که این حمله فقط زیرساخت‌های شرکت را تحت تأثیر قرار داده و بابت مشکلات ایجادشده برای مشتریان عذرخواهی کرده است.
