По данным нескольких компаний, занимающихся кибербезопасностью, хакеры взламывают веб-сайты, работающие на уязвимых версиях WordPress. Число таких ресурсов достигло десятков миллионов.
На прошлой неделе WordPress исправила две критические уязвимости безопасности, призвав пользователей обновить ПО «немедленно». Уязвимости настолько серьёзные, что WordPress включил принудительные апдейты там, где это было возможно.
С тех пор компании по кибербезопасности Patchstack, Hexastrike и WatchTowr предупредили, что хакеры используют эти уязвимости в реальных условиях, то есть захватывают веб-сайты, которые всё ещё работают на старых версиях WordPress.
Уязвимыми версиями WordPress являются 6.9.0–6.9.4 и 7.0.0–7.0.1. Согласно официальной статистике, более 400 млн веб-сайтов используют эти версии.
Консультант по кибербезопасности Даниэль Кард изучил выборку из примерно 3500 веб-сайтов WordPress, и оценил менее 15% как уязвимые. Если применить прогноз Карда ко всей совокупности веб-сайтов WordPress в интернете, то общее число таких ресурсов составит около 90 млн.
Исследователь отметил, что WordPress внедряет автоматические обновления, Cloudflare блокирует атаки на уязвимые веб-сайты, а веб-сайты используют средства защиты от киберугроз, такие как веб-брандмауэры, для защиты ограниченного числа сайтов.
Меган Фокс, представитель компании Automattic, которая управляет WordPress.com и участвует в проекте с открытым исходным кодом, сообщила, что «все сайты, размещённые на серверах Automattic, включая WordPress.com, Pressable, WPVIP и партнеров WP.cloud, были защищены ещё до выпуска обновления кода».
Одна из критических ошибок WordPress была обнаружена и описана Адамом Куэсом из компании Searchlight Cyber, специализирующейся на кибербезопасности, который назвал её WP2Shell. В сочетании с другой ошибкой хакеры могут получить полный удалённый контроль над уязвимыми веб-сайтами.
В конце мая состоялся релиз WordPress 7.0 «Armstrong». В версию внесли более 419 исправлений и изменений в Core Trac, включая свыше 300 исправлений ошибок, а также сотни изменений в редакторе, панели управления и интеграции с ИИ.
Источник: habr.com