資安漏洞:WordPress 11 種外掛 Plugins 和佈景主題 Themes 安全性問題

WordPress 內容管理系統的用戶請注意,近日一共有 9 支外掛程式(Plugins)和外觀的佈景主題(Theme)出現嚴重等級的資安問題。這些問題程式內建的 PHP 網頁已經遭到竄改,攻擊者可透過內藏的資安漏洞,上傳任意文件到網站伺服器中,藉以奪取伺服器的管理權限。

這次出現資安威脅的外掛程式,例如「WP Symposium」,便是該外掛目錄下的「server/php/index.php」和「server/php/UploadHandler.php」兩個網頁腳本中被事先寫入危險指令,讓攻擊者得以借殼上傳木馬程式到伺服器中,進而直接下達控制指令管理你的伺服器,進行任何他們想要的動作行為。

目前已知被攻擊者作為跳板使用的境外伺服器,分別位在美國俄亥俄州的哥倫布市(Columbus)與塔爾薩(Tulsa, United States),甚至連科技界最富盛名的山景城(Mountain View)也被攻陷。另外,德國的北萊茵西發利亞邦(Nordrhein-Westfalen, Germany)、瑞典的隆德(Lund, Sweden)、阿拉伯聯合酋長國的迪拜(Dubai, United Arab Emirates),以及法國的瓦朗謝訥(Valenciennes, France)等地電腦端也都有被利用的情況。

攻擊者首先無差別掃描全球 WordPress 伺服器,並且連續針對這 9 大外掛程式和佈景主題進行攻擊,此時只要你的商業網站或部落格有使用下面任何一個外掛,必且平常也不注重資安管理,那麼你的 WordPress 伺服器便可能已經不再安全,甚至有可能搖身一變成為攻擊者的網路傀儡(又稱網路殭屍)。

WordPress 8 大高風險外掛程式與外掛主題包括:

  • WP Symposium
  • WP Ecommerce Shop Styling
  • Candidate Application Form
  • Simple Image Manipulator
  • WPTF Image Gallery
  • Recent Backups
  • mTheme Unus
  • wp Mobile Detector

2018年08月追加 2 種有問題的外掛程式:

  • UnGallery
  • WP Support Plus Responsive Ticket System

上面除了 mTheme Unus 這個佈景主題外,其他 7 個外掛程式涵蓋影像管理、網站備份、表單、社交以及風格管理等各層面,算是有計畫性的針對最大用戶群體進行散佈。


至於還一個遭到黑帽駭客鎖定的程式則較為麻煩,因為它是利用 WordPress 原生檔案「admin-ajax.php」進行攻擊,算是近期頗具知名度的一個公開漏洞,被命名為本地文件包含漏洞(Local File Inclusion, LFI),這次也被同一位攻擊者「順便」用於竊取 wp-config.php 這個 WP 網站最重要的設定檔案資料,如果你平常疏於防範,便有可能洩露了自己的資料庫帳密等資訊!

工具人建議各位 WP 站長和部落客,就算你無法親手替 Linux 伺服器強化資安防護,也一定要記得替 WordPress 安裝資安類的外掛程式!我這邊推薦兩套 WP 系統中赫赫有名的程式給大家,算是懶人包式的強化手段,包括:

題外話,這一兩年有很多部落客紛紛從大型平台跳下來成為獨立門戶,雖然架設 WordPress 網站的過程不太困難,但我深覺後續維護管理和對抗外界攻擊真的相當麻煩。對於想要純粹從事文字創作的朋友來說,是否真的要獨自架設網站也可以從這個角度做些考慮。要不然就去申請類似 Bluehost 這些伺服器供應商提供的專用 WordPress 伺服器吧,除了價格便宜而且方便使用外,還提供強化過的伺服器和備份等功能,也算是省時省力的一個解決方案。

您可能也會喜歡…

發表意見