Плъгинът за бекъп Prime Mover има критична уязвимост 9.8

Q: Как да разбера дали някой е използвал уязвимостта в Prime Mover?

Прегледайте Comments в изгледите All, Pending, Spam и Trash за коментар, чийто текст е дълга поредица латински букви и цифри, която не прилича на нищо, написано от човек, и го изтрийте окончателно. Ако сте пускали експорт или възстановяване с версия 2.2.1 или по-стара и намерите такъв коментар, проверете в Settings > General дали е отметнато „Anyone can register“ и каква е ролята по подразбиране за нови потребители. После потърсете в Users непознати администратори, защото такъв администратор или сменена настройка значат, че сайтът е хакнат.

# ЕтикетиСигурностБекъпиWordPress

Екипът на WPhost27 окт 20269 мин четене

На 24 октомври 2026 г. в NVD беше публикуван запис за критична уязвимост в Prime Mover, плъгина за бекъп и миграция на WordPress сайтове (CVE-2026-115806). Засегнати са всички версии до 2.2.1 включително. Wordfence, който е издал записа, я оценява с 9.8 от 10 по CVSS. За атаката не е нужен акаунт в сайта. Според wordpress.org плъгинът има над 10 000 активни инсталации.

Поправката е във версия 2.2.2, пусната на 19 октомври, пет дни преди записът да стане публичен. Ако автоматичните обновления на плъгините са включени, сайтът Ви може вече да я има. Ако не са, обновете преди следващия експорт или възстановяване с Prime Mover, защото точно тогава атаката се задейства.

Защо пробив в плъгин за бекъп е толкова сериозен

Плъгинът за бекъп и миграция работи с целия сайт наведнъж. Той чете всяка таблица в базата данни, събира файловете в архив и при възстановяване записва всичко обратно. За целта работи с правата на администратор. Затова грешка в такъв плъгин стига до всичко, което сайтът пази.

В базата на магазин с WooCommerce са поръчките, имената и телефоните на клиентите, адресите за доставка с Еконт или Спиди, често и данните за фактури. Всичко това минава през плъгина при всеки експорт, а готовият архив остава на сървъра, докато някой не го изтрие.

Как работи атаката през коментарите

При експорт и възстановяване Prime Mover минава през базата данни с функция за търсене и замяна, с която например подменя адреса на сайта при преместване. Част от данните в WordPress са записани в сериализиран вид, тоест като текст, от който PHP сглобява обратно масиви и обекти. Плъгинът разгъва такъв текст, прави замените в него и го сглобява отново. Ако стойността е кодирана в Base64, той първо я декодира.

Според записа нападателят праща през обикновената форма за коментари (wp-comments-post.php) коментар, чийто текст е точно такъв кодиран обект. Акаунт за това не му трябва. Коментарът стои в базата, докато администратор пусне експорт или възстановяване с Prime Mover. Тогава плъгинът декодира текста и сглобява от него обект, без да ограничава от кои класове може да бъде. Това се нарича PHP Object Injection.

Самият сглобен обект още не е пробив. Нападателят има нужда и от така наречената POP верига, поредица от вече съществуващ код, която обектът му задейства. Според записа такава верига има в самия Prime Mover, в библиотеката Freemius, която плъгинът носи за лицензите и обновленията си. Друг плъгин или тема не са нужни. Веригата завършва с функцията update_option(), с която WordPress записва настройките си, а в кода на версия 2.2.1 се вижда, че името на настройката идва от обекта на нападателя. С други думи, той избира коя настройка на сайта да презапише.

Записът не поставя условие коментарът да е одобрен. А WordPress записва в базата и коментарите, които чакат одобрение или са отбелязани като спам. Отзивите за продукти в WooCommerce минават през същата форма за коментари, така че и магазин без блог може да е изложен.

Във версия 2.2.2 плъгинът сглобява от такъв текст само обикновени обекти от вградения клас stdClass и отхвърля всички останали. Така веригата спира. Към 27 октомври нито NVD, нито записът в CVE.org съобщават за атаки с тази уязвимост. Записът обаче сочи точните редове в кода, което улеснява всеки, който иска да я използва. Какво значи оценка 9.8, е обяснено в ръководството за CVSS.

Засегнат ли е Вашият сайт?

Засегнат е, ако Prime Mover е инсталиран и версията му е 2.2.1 или по-стара. Версията се вижда в Plugins > Installed Plugins. В Terminal на cPanel командата по-долу показва същото, без да променя нищо. Как се работи с WP-CLI, е описано в ръководството за WP-CLI.

Bash

# cPanel > Terminal, в папката на сайта
# Само чете. Показва плъгините на Prime Mover и версиите им.
wp plugin list --fields=name,title,status,version \
  --skip-plugins --skip-themes | grep -i prime

Ако плъгинът е деактивиран, атаката не може да се задейства, докато е така. Злонамерен коментар обаче остава в базата и чака плъгинът да бъде активиран отново, затова обновете или изтрийте Prime Mover, дори да е деактивиран.

Записът назовава безплатния плъгин от wordpress.org. Платената версия се инсталира като отделен плъгин (в WP-CLI се казва prime-mover-pro) и командата по-горе ще покаже и нея. Ако я ползвате, обновете и нея до последната версия и проверете при разработчика Codexonics дали съдържа поправката от 2.2.2.

Какво да направите

Обновете Prime Mover до 2.2.2 или по-нова версия от Plugins > Installed Plugins или от WP Toolkit в cPanel. След това проверете версията още веднъж.
Ако искате бекъп преди обновлението, направете го с инструмента за бекъп на хостинга или както е описано в ръководството за бекъп. Не го правете с Prime Mover, защото експортът със старата версия е точно моментът, в който атаката се задейства.
Ако не можете да обновите веднага, деактивирайте плъгина дотогава и не пускайте с него експорт или възстановяване.
Прегледайте Comments в изгледите All, Pending, Spam и Trash. Търсете коментар, чийто текст е дълъг низ от латински букви и цифри, който не прилича на нищо написано от човек. Изтрийте такъв коментар окончателно. Ако не откриете нищо, това не доказва, че опит не е имало.
Ако сте правили експорт или възстановяване с версия 2.2.1 или по-стара и откриете такъв коментар, приемете, че настройките на сайта може да са променени. Отворете Settings > General и вижте дали е отметнато „Anyone can register“ и каква роля стои в „New User Default Role“. В Users проверете дали няма непознати администратори.

Какво правим ние

При наблюдението на уязвимостите следим какво е инсталирано на сайта Ви и всеки ден го сверяваме с базите данни с уязвимости (CVE). Щом се появи уязвимост в нещо, което използвате, изпращаме Ви сигнал и обновяваме, като първо пробваме обновлението на копие в staging. Сайтът може да е хостнат където и да е. Ако искате да включим и Вашия сайт, пишете ни през формата за запитване.

Често задавани въпроси

Какво е CVE-2026-115806 в Prime Mover?

Критична уязвимост в Prime Mover, плъгина за бекъп и пренасяне на сайтове с WordPress, публикувана в NVD на 24 октомври 2026 г. Засегнати са всички версии до 2.2.1 включително, атаката не изисква акаунт в сайта, а Wordfence я оценява с 9.8 от 10 по CVSS. Уязвимостта е от вида PHP Object Injection.

Коя версия на Prime Mover поправя уязвимостта?

Prime Mover 2.2.2, пусната на 19 октомври 2026 г., пет дни преди записът да стане публичен. Ако автоматичните обновления на плъгините са включени, сайтът Ви може вече да я има. Проверете версията в Plugins > Installed Plugins.

Как работи атаката срещу Prime Mover през коментарите?

Нападателят изпраща през обикновената форма за коментари коментар, чийто текст е кодиран PHP обект, и за това не му трябва акаунт. Коментарът чака в базата, докато администратор пусне експорт или възстановяване с Prime Mover. Тогава плъгинът декодира текста, сглобява от него обект и през код в библиотеката Freemius, която идва с плъгина, нападателят презаписва настройка на сайта по свой избор.

Засегнат ли е магазин без блог, ако коментарите са изключени?

Може да бъде. Отзивите за продукти в WooCommerce минават през същата форма за коментари, така че и магазин без блог е изложен. Записът не поставя условие коментарът да е одобрен, а WordPress пази в базата и коментарите, чакащи модерация, и тези, отбелязани като спам.

Опасен ли е Prime Mover, ако плъгинът е деактивиран?

Докато Prime Mover е деактивиран, атаката не може да се задейства. Вреден коментар обаче остава в базата и чака плъгинът да бъде включен отново. Затова обновете или изтрийте Prime Mover, дори да е деактивиран.

Засегната ли е платената версия Prime Mover PRO?

Записът назовава безплатния плъгин от wordpress.org. Платената версия се инсталира като отделен плъгин, който WP-CLI нарича prime-mover-pro. Ако я използвате, обновете и нея до последната версия и проверете с разработчика Codexonics, че съдържа поправката от 2.2.2.

Мога ли да направя бекъп с Prime Mover преди обновяването?

Не го правете. Експортът със старата версия на Prime Mover е точно моментът, в който атаката се задейства. Ако искате бекъп преди обновяването, направете го с инструмента за бекъп на хостинга.

Как да разбера дали някой е използвал уязвимостта в Prime Mover?

Прегледайте Comments в изгледите All, Pending, Spam и Trash за коментар, чийто текст е дълга поредица латински букви и цифри, която не прилича на нищо, написано от човек, и го изтрийте окончателно. Ако сте пускали експорт или възстановяване с версия 2.2.1 или по-стара и намерите такъв коментар, проверете в Settings > General дали е отметнато „Anyone can register“ и каква е ролята по подразбиране за нови потребители. После потърсете в Users непознати администратори, защото такъв администратор или сменена настройка значат, че сайтът е хакнат.

Източници