Websecurity - Веб безпека

Відбувся новий масовий взлом сайтів на сервері TheHost. Він мав місце з 27.02.2022 по 11.05.2026. П’ятий масовий взлом сайтів на сервері TheHost відбувся в 2020.

Був взломаний сервер української компанії TheHost. Взлом складався з одного масового дефейсу та багатьох окремих. Що відбувся частково до і після масового взлому сайтів на сервері UA-Hosting.

Всього взломали 59 сайтів на сервері TheHost (IP 176.114.0.120). Перелік сайтів можете подивитися на www.zone-h.org.

Багато сайтів були одночасно взломані хакерами з theMx0nday 27.02.2022, але більшість з них додали в базу лише в 2025 році, та потім у 2025 і 2026 роках два сайти хакерами з Chinafans. Також два десятки сайтів хакнули окремо з 20.04.2015 по 13.10.2023.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостинг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері. У випадку окремих дефейсів по одному чи декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Litespeed Cache, Social Warfare, WP Publications, Simple File List, Pie Register. Для котрих з’явилися експлоіти.

• Litespeed Cache WordPress Plugin 6.3.0.1 - Privilege Escalation (деталі)
• Social Warfare WordPress Plugin 3.5.2 - Remote Code Execution (RCE) (деталі)
• WP Publications WordPress Plugin 1.2 - Stored XSS (деталі)
• Simple File List WordPress Plugin 4.2.2 - File Upload to RCE (деталі)
• Pie Register WordPress Plugin 3.7.1.4 - Authentication Bypass to RCE (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://kompanievska-selrada.gov.ua (хакером Simsimi) - 15.09.2025 - похаканий державний сайт
• https://stomatology.lviv.ua (хакером Hunter Bajwa) - 20.08.2024
• https://avt-mir.com.ua та інші (всього 25 сайтів хакером Rayzky) - 04.09.2024
• https://zmj.zsmu.edu.ua (хакером L4663R666H05T) - 07.09.2024
• https://promlabchem.com.ua (хакером Panataran) - 08.09.2024

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Frontend Login and Registration Blocks, User Registration & Membership, Digits, Social Warfare і в самому движку. Для котрих з’явилися експлоіти.

• WordPress Core 6.2 - Directory Traversal (деталі)
• WordPress Frontend Login and Registration Blocks Plugin 1.0.7 - Privilege Escalation (деталі)
• WordPress User Registration & Membership Plugin 4.1.2 - Authentication Bypass (деталі)
• WordPress Digits Plugin 8.4.6.1 - Authentication Bypass via OTP Bruteforcing (деталі)
• Social Warfare WordPress Plugin 3.5.2 - Remote Code Execution (RCE) (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://newcoins.bank.gov.ua (хакером Rici144) - 09.02.2026 - похаканий державний сайт
• https://pb.bank.gov.ua (хакером Rici144) - 09.02.2026 - похаканий державний сайт
• https://ininclusion.bank.gov.ua (хакером Rici144) - 09.02.2026 - похаканий державний сайт
• https://events.bank.gov.ua (хакером Rici144) - 09.02.2026 - похаканий державний сайт
• https://diplomukr.kiev.ua (хакером Hunter Bajwa) - 18.08.2024

Хакнули чотири сайти НБУ в лютому.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах User Registration & Membership, PZ Frontend Manager, LearnPress, Depicter і темі XStore. Для котрих з’явилися експлоіти.

• Wordpress Theme XStore 9.3.8 - SQLi (деталі)
• WordPress User Registration & Membership Plugin 4.1.1 - Unauthenticated Privilege Escalation (деталі)
• PZ Frontend Manager WordPress Plugin 1.0.5 - Cross Site Request Forgery (CSRF) (деталі)
• LearnPress WordPress LMS Plugin 4.2.7 - SQL Injection (деталі)
• WordPress Depicter Plugin 3.6.1 - SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://ojs.iod.gov.ua (хакером R4iseUp) - 05.10.2025 - похаканий державний сайт
• https://school1.irpinosvita.gov.ua (хакерами з chinafans) - 13.01.2026 - похаканий державний сайт
• https://intelevraz.com.ua (хакером N4ST4R_ID) - 22.07.2024
• https://westbruk.com.ua (хакером Hunter Bajwa) - 04.08.2024
• https://apegold.com.ua (хакером Hunter Bajwa) - 04.08.2024

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів, як от магазин НБУ.

• https://coins.bank.gov.ua (хакером Panataran) - 19.02.2026 - похаканий державний сайт
• https://smartgrow.com.ua (хакерами з Fallaga Team) - 29.06.2024
• https://tks.kharkov.ua (хакером omgsmok) - 10.07.2024
• https://jareck.kiev.ua (хакерами з Azzasec) - 12.07.2024
• DDoS атака на lanet.ua - 12.03.2026

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Alemha Watermarker, Playlist for Youtube, WP Video Playlist, Background Image Cropper і темі Travelscape. Для котрих з’явилися експлоіти.

• Wordpress Plugin Alemha Watermarker 1.3.1 - Stored Cross-Site Scripting (XSS) (деталі)
• Wordpress Theme Travelscape v1.0.3 - Arbitrary File Upload (деталі)
• Wordpress Plugin Playlist for Youtube 1.32 - Stored Cross-Site Scripting (XSS) (деталі)
• Wordpress Plugin WP Video Playlist 1.1.1 - Stored Cross-Site Scripting (XSS) (деталі)
• Wordpress Plugin Background Image Cropper v1.2 - Remote Code Execution (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://kompanievska-selrada.gov.ua (хакером Panataran) - 07.09.2024 - похаканий державний сайт
• https://autoliner.com.ua (хакером PantheonSec) - 18.06.2024
• https://gruzovoe-taksi.kiev.ua (хакером PantheonSec) - 18.06.2024
• https://v7125.dh.net.ua (хакером Ali HawleRy) - 19.06.2024
• https://znz28.cv.ua (хакером Ali HawleRy) - 19.06.2024