Kritična ranljivost v WordPress vtičniku Modular DS (CVE-2026-23550) je že v zlorabi: kako preveriš in zaščitiš spletno mesto

WordPress ekosistem je spet dobil primer, kjer kombinacija “udobnih” produktnih odločitev hitro postane varnostni incident. Patchstack poroča, da je kritična ranljivost v vtičniku Modular DS že aktivno zlorabljena v naravi, napadalcem pa omogoča, da brez prijave pridobijo administratorske pravice.

Ranljivost je označena kot CVE-2026-23550 (CVSS 10.0) in vpliva na vse verzije vtičnika do vključno 2.5.1. Popravek je na voljo v 2.5.2. Ker ima vtičnik več kot 40.000 aktivnih namestitev, je realno pričakovati masovno skeniranje in avtomatizirane napade na izpostavljene strani.

Kaj je problem (na kratko, brez dramatike)

Po opisu Patchstack gre za neavtenticirano eskalacijo privilegijev: napadalec lahko zaobide avtentikacijo in prek vtičnikovih API poti pride do toka, ki omogoča prijavo kot admin.

Ključna točka je v vtičnikovem mehanizmu usmerjanja (routing), kjer so določene občutljive poti načeloma postavljene za avtentikacijsko pregrado. Vtičnik svoje endpoint-e (API poti) izpostavlja pod prefiksom "/api/modular-connector/".

Zakaj je obvoz avtentikacije sploh mogoč

Po razlagi Patchstack se zaščitna plast obide, kadar je omogočen način “direct request”. Dovolj je, da zahtevi dodaš parametra origin=mo in type=, s čimer strežnik zahtevo obravnava kot “Modular direct request”.

Pomemben detajl: če je spletno mesto že povezano z Modular (npr. prisotni in obnovljivi tokeni), potem lahko napadalec prestopi avtentikacijski middleware, ker med vhodno zahtevo in dejanskim Modular sistemom ni kriptografske vezave, ki bi dokazovala izvor.

Zakaj je to nevaren vzorec

Implicitno zaupanje “internim” potem in URL-parametrom je lahko usodno, ko je sistem izpostavljen javnemu internetu. Tu ni šlo za en sam bug, ampak za kombinacijo permisivnega route matching-a, direct request načina in prijavnega toka, ki lahko “pade nazaj” na admin račun.

Kateri endpoint-i so po poročilu izpostavljeni

Patchstack navaja, da to odpira več poti, med drugim: "/login/", "/server-information/", "/manager/" in "/backup/". Posledice segajo od oddaljene prijave do pridobivanja občutljivih sistemskih ali uporabniških podatkov.

Najbolj kritičen scenarij je zloraba rute "/login/{modular_request}", ki lahko napadalcu omogoči administratorski dostop, nato pa poln kompromis strani (vnos zlonamernih sprememb, namestitev malware-a ali preusmerjanje obiskovalcev na prevare).

Kaj vemo o napadih v naravi

Po podatkih Patchstack so prve zlorabe zaznali 13. januarja 2026 okoli 02:00 UTC. Vzorec napada naj bi vključeval HTTP GET klice na "/api/modular-connector/login/", nato pa poskuse ustvarjanja novega admin uporabnika.

Kot izvor napadov sta navedena tudi naslednja IP naslova (uporabno za hitro korelacijo v logih):

45.11.89[.]19
185.196.0[.]11

Takojšen ukrep: posodobi na Modular DS 2.5.2

Če Modular DS uporabljaš v produkciji, je najbolj neposreden ukrep jasen: posodobitev na verzijo 2.5.2, kjer je ranljivost odpravljena. Pri takšni oceni (CVSS 10.0) in potrjeni aktivni zlorabi odlašanje praviloma pomeni, da boš prej ali slej na radarju avtomatiziranih botov.

Hiter checklist: kako preveriš, ali je bila stran kompromitirana

Modular DS in Patchstack priporočata, da poleg posodobitve preveriš tudi znake kompromisa. Osnovni kontrolni seznam:

Preglej seznam uporabnikov v WordPressu: išči nepričakovane admin račune ali sumljive spremembe obstoječih računov.
Preglej access loge (npr. na Nginx/Apache) za zahteve na "/api/modular-connector/", posebej "/api/modular-connector/login/" in sumljive query parametre, kot sta origin=mo in type=....
Preveri, ali so se na strežniku pojavile nove datoteke ali spremembe v wp-content/plugins/ in wp-content/uploads/ (pogost vektor za dropperje).
Če imaš WAF ali security plugin z logiranjem, poišči avtomatizirane skenerje in nenavadne vzorce zahtevkov na Modular DS endpoint-e.

Če najdeš znake zlorabe: nujni sanacijski koraki

Če opaziš nepričakovane admin uporabnike ali sumljive zahteve, ne ostani pri “samo posodobitvi”. Priporočeni ukrepi (povzeto po navodilih v viru):

Regeneriraj WordPress salts (da razveljaviš obstoječe seje).
Regeneriraj OAuth credentials (če jih tvoj setup uporablja in so lahko kompromitirani).
Skeniraj spletno mesto za zlonamerne vtičnike, datoteke ali injicirano kodo.

Opomba glede forenzike

Pri takih incidentih je pogosto pomembno tudi časovno okno: napadalec, ki enkrat dobi admin dostop, lahko doda backdoor (npr. kot “mu-plugin” ali skrit PHP v uploads). Zato je poleg odstranitve neznanih adminov smiselno preveriti tudi integriteto datotek in zgodovino sprememb.

Tehnični kontekst: kje je nastala napaka

Vzdrževalci vtičnika so navedli, da je bila ranljivost v custom routing layer-ju, ki razširja Laravelovo ujemanje poti (route matching). Logika ujemanja je bila preveč permisivna, kar je omogočilo, da so posebej pripravljene zahteve dosegle zaščitene endpoint-e brez ustrezne avtentikacije.

Povzetek za vzdrževalce WordPress strani

CVE-2026-23550 v Modular DS omogoča neavtenticiran admin access (CVSS 10.0) in je že zlorabljena.
Vpliva na verzije do 2.5.1, popravek je v 2.5.2.
Preveri loge za dostop do "/api/modular-connector/login/" in nenavadne parametre (origin=mo).
Če sumiš kompromis: regeneriraj salts, obnovi OAuth poverilnice in skeniraj datoteke/vtičnike za malware.