Criminelen maken actief misbruik van een kritieke kwetsbaarheid in WooCommerce Payments om WordPress-sites over te nemen. Dat laat securitybedrijf Wordfence weten. Via het beveiligingslek kan een ongeauthenticeerde aanvaller beheerdersrechten op kwetsbare websites krijgen. De impact van het beveiligingslek, aangeduid als CVE-2023-28121, is op een schaal van 1 tot en met 10 beoordeeld met een 9.8.

WooCommerce is een plug-in om van WordPress-sites een webwinkel te maken. De plug-in is op meer dan vijf miljoen WordPress-sites geïnstalleerd. Voor WooCommerce zijn ook weer allerlei plug-ins beschikbaar, waaronder WooCommerce Payments. Deze plug-in maakt het mogelijk om verschillende soorten betalingen in webwinkels te faciliteren. Meer dan zeshonderdduizend webshops maken er gebruik van.

Volgens Wordfence maken aanvallers sinds 14 juli misbruik van de kwetsbaarheid, waarbij de piek op zaterdag 16 juli werd waargenomen. Het ging toen om 1,3 miljoen aanvallen gericht tegen 157.000 websites. Eind maart verscheen er al een update voor het probleem. De patch werd automatisch geïnstalleerd op alle websites die WooCommerce Payments 4.8.0 tot en met 5.6.1 draaien en op WordPress.com worden gehost.

Voor websites die ergens anders worden gehost zal de betreffende beheerder dit zelf moeten doen. Hoeveel WordPress-sites nog kwetsbaar zijn is onbekend. Uit cijfers van WordPress blijkt dat honderdduizenden websites de patch hebben ontvangen.