مارک مونپاس، محقق امنیتی WPScan، گفت: در پاسخ به گزارش آسیب‌پذیری، سازندگان این افزونه به سرعت نسخه جدیدی به نام 2.6.4 را منتشر کردند تا مشکل را برطرف کنند. با این حال، پس از بررسی این به‌روزرسانی، روش‌های متعددی برای دور زدن وصله پیشنهادی پیدا کردیم، به این معنی که این مشکل هنوز کاملاً قابل بهره‌برداری است.
اتوماتيك WP.cloud و Pressable.com پلتفرم‌های میزبانی روندی را در سایت‌های در معرض خطر پیدا کردند که در آنها مدیران جدید سرکش ظاهر شدند. پس از بررسی بیشتر، آنها بحثی را در انجمن پشتیبانی WordPress.org در مورد یک پتانسیل پیدا کردند آسیب پذیری افزایش امتیاز در افزونه، و همچنین نشانه هایی مبنی بر اینکه قبلا وجود داشته است به طور فعال مورد بهره برداری قرار می گیرد.
WPScan در حال گزارش یک کمپین هک است به طور فعال از یک آسیب پذیری اصلاح نشده در افزونه Ultimate Member بهره برداری می کند، که به مهاجمان احراز هویت نشده اجازه می دهد تا حساب های کاربری جدید با امتیازات مدیریتی ایجاد کرده و سایت را تحت کنترل خود درآورند. به این آسیب‌پذیری امتیاز CVSSv3.1 (سیستم امتیازدهی آسیب‌پذیری مشترک) 9.8 (بحرانی) داده شده است.
نسخه 2.6.6 آخرین نسخه از افزونه Ultimate Member است اما هنوز هم اعتقاد بر این است که آسیب پذیر است. WPScan به کاربران توصیه می کند افزونه را تا زمانی که به اندازه کافی وصله نشده است غیرفعال کنند.
منبع: https://wptavern.com/hackers-actively-exploiting-unpatched-privilege-escalation-vulnerability-in-ultimate-member-plugin
WPScan بیش از ده ها آدرس IP را شناسایی کرده است که اکسپلویت ها از آنها منشأ می گیرند، نام های کاربری رایج برای حساب های مخرب و سایر شاخص های خطر مانند پلاگین ها، تم ها و کدهای مخرب. بررسی کنید مشاوره امنیتی اگر فکر می کنید به خطر افتاده اید.
علاوه بر فوریت وضعیت، نگاهی به سیستم‌های نظارتی ما نیز تأیید کرد که حملات با استفاده از این آسیب‌پذیری واقعاً در طبیعت رخ می‌دهند.»
عضو نهایی، که در بیش از 200000 سایت وردپرس فعال است، این افزونه را اصلاح کرد، اما WPScan گزارش می دهد که کافی نبود.