Der Angriff setzt an der Validierung von Datei-Uploads in Elementor-Pro-Formularen an. Wird das Datei-Upload-Feld als Array übermittelt, dessen erstes Element leer ist und dessen zweites Element eine schädliche PHP-Datei enthält, hört das Plugin auf, die nachfolgenden Dateien zu prüfen. Genau diese Struktur löst laut Wordfence die Umgehung der Prüfung aus: „Der Angreifer übermittelt das Datei-Upload-Feld des Formulars als Array, wobei das erste Element leer ist und das zweite Element eine PHP-Payload mit einem Dateinamen auf .php trägt – das ist die Struktur, die die Umgehung der Validierung auslöst.“
Die hochgeladene Datei landet im Verzeichnis /wp-content/uploads/elementor/forms/. „Nach dem Schreibvorgang wird die hochgeladene PHP-Datei unter einem zufällig erzeugten Dateinamen mit der vom Angreifer vorgegebenen Endung .php in diesem Verzeichnis abgelegt, und der Angreifer kann sie direkt aufrufen, um beliebige Befehle auf dem Server auszuführen“, erläutert das Sicherheitsunternehmen.
Wordfence meldete, dass die Angriffe am 19. August begannen – am selben Tag, an dem Elementor die fehlerbereinigte Version 4.2.2 veröffentlichte. Besonders intensiv war die Aktivität zwischen dem 19. und 23. August: In diesem Zeitraum blockierte der Anbieter nach eigenen Angaben mehr als 190.000 Ausnutzungsversuche. Ergänzend veröffentlichte Wordfence eine Liste von IP-Adressen, von denen jeweils tausende Angriffe ausgingen, damit Verteidiger diese in ihre Sperrlisten aufnehmen können.
Die Voraussetzung für einen erfolgreichen Angriff ist überschaubar: Es genügt ein veröffentlichtes Formular-Widget von Elementor Pro mit mindestens einem Feld für Datei-Uploads. Da diese Konfiguration weit verbreitet ist, dürfte ein erheblicher Teil der Installationen angreifbar gewesen sein. Patchstack hatte im vergangenen Monat auf die Möglichkeit hingewiesen, über die Lücke beliebige PHP-Dateien hochzuladen und dadurch PHP-Code auf dem Server auszuführen.
Betreiber sollten unverzüglich auf Elementor Pro 4.2.2 oder eine neuere Version aktualisieren. Zusätzlich rät Wordfence, das Verzeichnis /wp-content/uploads/elementor/forms/ auf unbekannte PHP-Dateien zu durchsuchen. Da an dieser Stelle ausschließlich über Formulare eingereichte Uploads abgelegt werden, gilt jede dort gefundene PHP-Datei als deutliches Kompromittierungsindiz und sollte eine Bereinigung der betroffenen Installation nach sich ziehen.