Luka SQL w Backuply zagraża 600 000 witryn WordPress

teal curved wallpaper — Pawel Czerwinski / Unsplash

Wykryto lukę bezpieczeństwa w rozszerzeniu Backuply, która dotyka ponad 600 000 witryn korzystających z systemu WordPress.

Podatność typu wstrzykiwanie SQL, oznaczona jako CVE-2026-93953, została opisana w biuletynie bezpieczeństwa Wordfence z 15 października 2026 roku. Błąd ten otrzymał wynik CVSS na poziomie 8,0 z 10. Problem dotyczy wszystkich wersji rozszerzenia do wersji 1.5.8 włącznie. Rozwiązanie problemu zostało udostępnione 1 października 2026 roku w wersji 1.5.9, w której naprawiono błąd związany z procesem przywracania danych.

Atak wykorzystuje mechanizm wstrzykiwania SQL drugiego stopnia. Punktem wejścia jest pole informacji biograficznych w profilu użytkownika, które może edytować każda osoba, nawet posiadająca najniższy poziom uprawnień jako subskrybent. Złośliwy kod nie aktywuje się w momencie zapisu danych, lecz podczas późniejszego przywracania kopii zapasowej przez administratora. Backuply podczas przywracania analizuje instrukcje pliku za pomocą zbyt dopuszczalnego wyrażenia regularnego, co pozwala na wykonanie dowolnego zapytania SQL z pełnymi uprawnieniami do bazy danych.

Według Wordfence wstrzyknięte zapytanie modyfikuje dwie opcje w tabeli wp_options. Pozwala to napastnikowi na uzyskanie konta administratora poprzez standardowy formularz rejestracji w systemie WordPress. Warunkiem koniecznym do przeprowadzenia ataku jest to, aby administrator przywrócił kopię zapasową bazy danych utworzoną po zapisaniu zainfekowanej biografii.

Zagrożenie dotyczy przede wszystkim witryn umożliwiających tworzenie kont, takich jak społeczności lub obszary członkowskie, oraz stron, na których przejęto już konto o niskich uprawnieniach. Badacz, który zgłosił tę lukę 17 września, otrzymał nagrodę w wysokości 1 352 dolarów.