攻撃を受け易い10,000以上のWordPressサイト

セキュリティ研究者は、WordPressのコンテンツ管理システム(CMS)を利用している10,000以上のWebサイトが、ゼロデイの欠陥を含むプラグインのために悪用される危険性があると警告している。

WP Mobile Detectorプラグインがこの問題の原因であり、プラグイン脆弱性チームが最初に公開したゼロデイ脆弱性が含まれています。

セキュリティ研究者は、ソフトウェアがインストールされていないCMSドメイン上のWP Mobile Detectorファイル(blog / wp-content / plugins / wp-mobile-detector / resize.php)のHEAD要求を受け取った後、潜在的な問題を認識しました。

チームはさらに調査し、「プラグインの脆弱性を悪用しようとする前に誰かがファイルの存在を確認していた」と考えていました。

Sucuri氏によると、この脆弱性自体は「悪用しやすい」という。ゼロデイは、ウェブサイトを危険にさらし、単にバックドアURLでHEADリクエストを送信することでCMSのバックドアとして機能します。

Sucuri氏によると、セキュリティチェックは行われず、攻撃者はsrc変数にPHPコードを含む悪意のあるURLを与えることができます。これは単純な脆弱性で、信頼できないソースからの入力を検証したり、

この欠陥を利用しているサイバー攻撃者は、この問題を利用してポルノやスパム関連のスクリプトを含むWebサイトを読み込んでいます。

WP Mobile Detectorの後ろのチームは、5月29日にゼロデイ脆弱性が通知され、wordpress.org Plugin Directoryに2日後に通知され、プラグインが一時的に削除されました。

数日前には、プラグインのアクティブインストールが10,000件以上記録されていました。

5月31日、プラグインの開発者が問題を修正し、プラグインが復元されました。ユーザーは、バージョン3.6または3.7のいずれかに更新する必要があります。両方とも、この脆弱性を悪用した攻撃に対して脆弱ではなくなりました。

読んでください:トップピック

ホワイトハウス、連邦最高情報セキュリティ責任者を任命

ransomware攻撃のコスト:今年は10億ドル、ChromeはHTTP接続を安全ではないとラベル付け開始、Hyperledgerプロジェクトはギャングバスターのように成長している;今、あなたはその道で何かを破壊するUSB​​スティックを買うことができる

国防総省のサイバー緊急対応を批判したペンタゴン

ChromeがHTTP接続に安全でないとラベル付けを開始する

Hyperledgerプロジェクトはギャングバスターのように成長しています

アップルはサーバ側でSiriのロック画面のバイパスセキュリティの欠陥を修正するバグの賞金:研究者のキャッシュを提供する企業、サイバー攻撃者はAdobe Flashゼロデイの脆弱性を脆弱性キットの統合、Webを使って海賊を止めたい彼らは払う

ホワイトハウスが連邦最高情報セキュリティ責任者を任命、セキュリティ、国防総省によるサイバー緊急対応の批判、セキュリティ、HTTP接続を安全でないと表示するChrome、セキュリティ、Hyperledgerプロジェクトがギャングバスターのように成長している