Hakkerit käyttävät hyväkseen kriittistä autentikointiohitushaavoittuvuutta Burst Statistics WordPress-lisäosassa saadakseen ylläpitäjätason pääsyn sivustoille. Haavoittuvuus mahdollistaa täyden sivuston haltuunoton ilman kirjautumistietoja.
Kyberrikolliset hyödyntävät aktiivisesti kriittistä autentikointiohitushaavoittuvuutta Burst Statistics WordPress-lisäosassa päästäkseen ylläpitäjätasolla sivustoihin. Haavoittuvuus mahdollistaa hyökkääjien ohittaa normaalit kirjautumisprosessit ja saada täysi hallinta kohdesivustoista ilman minkäänlaisia kirjautumistietoja.
Burst Statistics on suosittu analytiikkalisäosa, joka tarjoaa yksityisyyttä kunnioittavan vaihtoehdon Google Analyticsille. Lisäosa on asennettu satoihin tuhansiin WordPress-sivustoihin ympäri maailmaa, mikä tekee tästä haavoittuvuudesta erityisen vakavan uhan. Hyökkäykset ovat jo alkaneet ja niiden määrä kasvaa nopeasti.
Haavoittuvuus sijaitsee lisäosan autentikointilogiikassa, jossa puutteellinen käyttäjätunnistus mahdollistaa hyökkääjien pääsyn ylläpitäjätoimintoihin. Kun hyökkääjät saavat haltuunsa sivuston, he voivat asentaa haittaohjelmia, varastaa arkaluonteisia tietoja tai käyttää sivustoa launchpadina muihin hyökkäyksiin. Tämä tekee haavoittuvuudesta erityisen vaarallisen yrityksille ja organisaatioille.
WordPress-sivustojen ylläpitäjien tulee välittömästi päivittää Burst Statistics -lisäosa uusimpaan versioon tai poistaa se kokonaan käytöstä, kunnes korjaus on saatavilla. Lisäksi suositellaan sivustojen turvallisuustarkastusta mahdollisten kompromissien havaitsemiseksi. MSP-yhtiöiden kannattaa priorisoida asiakkaiden WordPress-sivustojen tarkastus ja varmistaa, että tämä lisäosa on joko päivitetty tai poistettu.
Tärkeimmät pointit
- Kriittinen autentikointiohitushaavoittuvuus Burst Statistics WordPress-lisäosassa
- Mahdollistaa ylläpitäjätason pääsyn ilman kirjautumistietoja
- Aktiiviset hyökkäykset jo käynnissä ja lisääntymässä
- Vaikuttaa satoihin tuhansiin WordPress-sivustoihin maailmanlaajuisesti
- Hyökkääjät voivat asentaa haittaohjelmia ja varastaa tietoja
- Välitön päivitys tai lisäosan poisto suositeltavaa
Lähde: Bleeping Computer — alkuperäinen artikkeli julkaistu 14.5.2026
