Ninja Tables Pro của WPManageNinja cho phép backdoor dai dẳng từ bản build bị cài mã độc

Ninja Tables Pro 5.2.11 chứa lỗ hổng mã độc được nhúng, xuất hiện do một bản build plugin bị can thiệp được phân phối qua một update server đã ngừng hoạt động. Bản build bị can thiệp thêm một tệp PHP trái phép (app/Library/updater/NinjaTableDataSync.php), tệp này thiết lập một backdoor REST API endpoint, thả các tệp PHP dai dẳng vào các thư mục mu-plugins và uploads, cài đặt một tài khoản quản trị viên không cần mật khẩu, và đăng ký các tác vụ theo lịch vẫn tồn tại sau khi gỡ plugin.

Phạm vi được xác nhận và các ranh giới phiên bản cần xử lý:

• Bản ghi được cung cấp xác định WPManageNinja Ninja Tables Pro 5.2.11 là affected.
• Advisory của VulnCheck liệt kê Ninja Tables Pro <= 5.2.11 là affected. Tuy nhiên, thông báo của WPManageNinja tập trung cụ thể vào bản build 5.2.11 bị can thiệp, vì vậy không nên suy luận rằng mọi bản cũ hơn đều đã nhận mã độc nếu không có bằng chứng về việc tải hoặc thực thi bản build bị sửa.
• Website có thể bị ảnh hưởng nếu đã cập nhật hoặc nhận bản build 5.2.11 trong khoảng 14:00 đến 19:00 UTC ngày 31 tháng 7 năm 2026. Do network caching, một số lượt nhận tệp vào ngày 1 tháng 8 năm 2026 cũng cần được kiểm tra.
• WPManageNinja xác định 5.2.14 là bản clean được phát hành để thay thế bản bị can thiệp. Việc đang chạy một bản cũ hơn không tự nó chứng minh website đã compromise, nhưng website vẫn thuộc nhóm cần điều tra nếu đã tải plugin trong thời gian có nguy cơ.

WPManageNinja Ninja Tables Pro bị ảnh hưởng bởi CWE-506, trong đó mã độc được nhúng vào một bản build plugin đã bị can thiệp thay vì phát sinh từ chức năng hợp lệ của plugin. Theo mô tả kỹ thuật, bản build độc hại được phân phối qua một update server cũ vẫn còn được proxy sử dụng sau khi hệ thống phân phối đã được chuyển đổi. Tệp PHP trái phép app/Library/updater/NinjaTableDataSync.php tạo một REST API endpoint trong namespace wp-update/v1, đồng thời có thể ghi các tệp PHP dai dẳng vào mu-plugins và uploads, đăng ký scheduled task và thay đổi dữ liệu WordPress.

Điều kiện phơi nhiễm là website đã nhận và thực thi bản build bị can thiệp, kể cả qua auto-update; nhà cung cấp cũng cảnh báo rằng network caching có thể khiến một số lượt tải vào ngày tiếp theo vẫn nhận tệp độc hại. Các scheduled task và dữ liệu trong database có thể tiếp tục hoạt động sau khi tệp plugin bị thay thế hoặc plugin bị gỡ, vì vậy chỉ cập nhật hoặc xóa plugin không đủ để chứng minh website đã sạch. Bản ghi được cung cấp mô tả một tài khoản quản trị viên không cần mật khẩu, trong khi thông báo của nhà cung cấp mô tả cả admin bypass và khả năng đăng nhập bằng tài khoản quản trị hiện có; hành vi chính xác có thể phụ thuộc vào biến thể implant đã chạy trên từng website.

Bản ghi có cấu hình khai thác qua mạng, độ phức tạp thấp, không yêu cầu quyền trước và không yêu cầu tương tác của người dùng. Trong thực tế, điều kiện ban đầu vẫn là website phải nhận bản build bị can thiệp từ kênh cập nhật bị ảnh hưởng; auto-update có thể đáp ứng điều kiện này mà không cần quản trị viên bấm cập nhật thủ công. Nhà cung cấp xác nhận các tệp bị sửa đã được tải xuống bởi một số website khách hàng trong khoảng thời gian sự cố ngày 31 tháng 7 năm 2026, và VulnCheck đánh dấu advisory này trong cơ sở dữ liệu KEV của mình. Bản ghi không nêu một public exploit riêng biệt, campaign có tên, hoặc việc ransomware đã sử dụng lỗ hổng này.

Mã độc chạy trong ngữ cảnh WordPress của website và có thể tạo quyền kiểm soát dai dẳng ở nhiều lớp: plugin files, mu-plugins, uploads, database và scheduled task. Hậu quả kỹ thuật được mô tả gồm tạo hoặc sử dụng quyền administrator, ghi tệp PHP, đăng ký backdoor REST endpoint, thay đổi cấu hình hoặc vô hiệu hóa security plugin, và đọc thông tin nhạy cảm từ wp-config.php.

• Tác động có thể bao gồm mất tính bí mật, toàn vẹn và khả dụng của website.
• Quyền kiểm soát có thể tồn tại sau khi plugin bị gỡ vì các tệp và database row do implant tạo ra nằm ngoài vòng đời thông thường của plugin.
• Phạm vi thực tế phụ thuộc vào việc website có nhận bản build bị sửa hay không và implant đã thực hiện những hành động nào trước khi bị phát hiện.
• Bản ghi không chứng minh rằng mọi website bị phơi nhiễm đều đã bị attacker sử dụng hoặc rằng một loại dữ liệu cụ thể đã bị lấy đi.

Nếu mã độc đã chạy, website có thể bị mất tính toàn vẹn do attacker ghi tệp PHP, thay đổi database, sửa cấu hình hoặc vô hiệu hóa security plugin. Backdoor quản trị có thể cho phép truy cập trái phép vào nội dung WordPress và các chức năng quản trị, còn việc đọc wp-config.php hoặc thông tin credential được lưu trong plugin có thể buộc tổ chức phải xoay vòng nhiều bí mật liên quan.

• Tệp trong mu-plugins, uploads và scheduled task có thể duy trì quyền kiểm soát sau khi đội vận hành chỉ cập nhật hoặc gỡ plugin.
• Website có thể bị gián đoạn trong quá trình cô lập, làm sạch hoặc khôi phục từ backup.
• Các website khác dùng chung hosting account hoặc máy chủ cần được kiểm tra vì credential hoặc quyền truy cập dùng chung có thể mở rộng phạm vi điều tra.
• Không có bằng chứng trong bản ghi cho thấy mọi website đã tải plugin đều bị truy cập hoặc dữ liệu cụ thể đã bị đánh cắp; tác động thực tế phải được xác định bằng kiểm tra file, database, log và credential.

1. Nếu bất kỳ kiểm tra nào cho kết quả dương tính, đưa website vào maintenance mode hoặc tạm thời ngắt website khỏi Internet nếu có thể.
2. Xóa toàn bộ thư mục plugin bị ảnh hưởng, không chỉ deactivate plugin. Sau đó loại bỏ các tệp không được nhận diện trong wp-content/mu-plugins/, xóa mọi PHP file trái phép dưới wp-content/uploads/, xóa database row liên quan và xóa các scheduled task wp_update_check_schedule và wp_license_verify_schedule.
3. Xác minh lại toàn bộ kiểm tra sau khi làm sạch, rồi kiểm tra một lần nữa sau 24 giờ để phát hiện việc implant tự tạo lại. Cài một bản sao sạch của Ninja Tables Pro 5.2.14 từ tài khoản hoặc nguồn chính thức của WPManageNinja.
4. Chỉ sau khi hoàn tất làm sạch, thay toàn bộ salts và keys trong wp-config.php, reset mật khẩu administrator, revoke application passwords, và xoay vòng credential của SMTP, payment gateway, API, dịch vụ tích hợp, database, hosting và SFTP.
5. Kiểm tra các website khác dùng chung máy chủ hoặc hosting account. Nếu không thể xác minh trạng thái sạch, khôi phục từ backup trước ngày 31 tháng 7 năm 2026 hoặc rebuild website sau khi kiểm tra database.
6. Duy trì xác minh chữ ký hoặc checksum cho các bản cập nhật plugin khi cơ chế này được nhà cung cấp hỗ trợ. Không coi việc cài bản clean là hoàn tất xử lý nếu chưa kiểm tra các artefact và credential tồn dư.

Thực hiện các kiểm tra sau trên mọi website đã cập nhật plugin trong hoặc gần thời gian sự cố:

• Kiểm tra lịch sử cập nhật và inventory plugin, bao gồm cả auto-update, trong ngày 31 tháng 7 năm 2026 và các lượt tải có thể bị ảnh hưởng bởi cache vào ngày 1 tháng 8 năm 2026.
• Kiểm tra sự tồn tại của wp-content/plugins/ninja-tables-pro/app/Library/updater/NinjaTableDataSync.php. Nhà cung cấp cho biết tệp này không có trong các bản phát hành hợp lệ.
• Rà soát wp-content/mu-plugins/ và wp-content/uploads/ để tìm PHP file không do quản trị viên hoặc nhà cung cấp cài đặt. Mọi PHP file không giải thích được trong uploads và mọi tệp lạ trong mu-plugins đều cần được xử lý như dấu hiệu xâm nhập.
• Tìm các option chứa địa chỉ máy chủ điều khiển mà implant sử dụng:

SELECT option_name FROM wp_options WHERE option_value LIKE '%apii.observer%';

• Kiểm tra scheduled task wp_update_check_schedule và wp_license_verify_schedule, sau đó kiểm tra REST route /​?rest_route=/wp-update/v1/check; phản hồi khác 404 cho thấy route có thể vẫn đang hoạt động.
• Rà soát access log cho confirm_admin_email với giá trị wp_lang ngẫu nhiên dài bất thường và cho updatelink=. Kiểm tra danh sách administrator, các thay đổi trái phép đối với security plugin, và các tài khoản không xác định được, đặc biệt là tài khoản đăng ký từ ngày 31 tháng 7 năm 2026 trở đi. Một kết quả scan sạch không đủ để loại trừ compromise vì implant có thể làm cho tài khoản độc hại trông như administrator đã được biết.