พบช่องโหว่ด้านความปลอดภัยในปลั๊กอิน WordPress ที่ได้รับความนิยมมาก ช่องโหว่ดังกล่าวทำให้เว็บไซต์มากกว่าสี่ล้านเว็บไซต์ตกอยู่ในความเสี่ยงทั่วโลก ช่วยให้แฮกเกอร์สามารถเข้าถึงบัญชีผู้ดูแลระบบได้ แม้ว่าจะมีการติดตั้งแพตช์แล้ว แต่ไซต์นับล้านยังคงมีช่องโหว่
พบช่องโหว่ด้านความปลอดภัยในการรักษาความปลอดภัยที่เรียบง่ายจริงๆซึ่งเป็นปลั๊กอิน WordPress ที่เน้นเรื่องความปลอดภัย ปลั๊กอินช่วยให้คุณได้รับประโยชน์จากเลเยอร์การตรวจสอบสิทธิ์แบบสองปัจจัยและการตรวจจับช่องโหว่แบบเรียลไทม์
ตามที่นักวิจัยจากเวิร์ดเฟนซ์ซึ่งเป็นปลั๊กอิน WordPress อื่นที่เชี่ยวชาญด้านความปลอดภัย การละเมิด Really Simple Security ช่วยให้ผู้โจมตีจากระยะไกลทำได้รับสิทธิ์การเข้าถึงของผู้ดูแลระบบสมบูรณ์. โดยการใช้ประโยชน์จากจุดอ่อนก็สามารถทำได้จริง“บายพาสการรับรองความถูกต้องและการเข้าถึงบัญชีของผู้ใช้ใดๆ รวมถึงผู้ดูแลระบบ”-
ในสายตาของเวิร์ดเฟนซ์มันเป็นเรื่องเกี่ยวกับ“หนึ่งในช่องโหว่ที่ร้ายแรงที่สุดที่เรารายงานในประวัติ 12 ปีของเราในฐานะผู้ให้บริการความปลอดภัยสำหรับ WordPress”- เพื่อใช้ประโยชน์จากข้อบกพร่อง ผู้โจมตีสามารถใช้สคริปต์อัตโนมัติได้ เพื่อนร่วมงานของเราจากคอมพิวเตอร์ส่งเสียงบี๊บจึงกลัวที่จะเห็นรูปลักษณ์ภายนอก“แคมเปญครอบครองเว็บไซต์ขนาดใหญ่”-
อ่านเพิ่มเติม:ไซต์ในฝรั่งเศสเกือบ 100 แห่งถูกบุกรุก - แฮกเกอร์ติดตั้งแบ็คดอร์
ไซต์นับล้านได้รับผลกระทบและแก้ไข
ช่องโหว่นี้ส่งผลต่อซอฟต์แวร์ทั้งเวอร์ชันฟรีและเวอร์ชัน Pro ตั้งแต่เวอร์ชัน 9.0.0 ถึง 9.1.1.1 ปลั๊กอินเวอร์ชันฟรีถูกใช้โดยมากกว่าสี่ล้านเว็บไซต์-
ไม่น่าแปลกใจเลยที่นักพัฒนาที่อยู่เบื้องหลัง Really Simple Security ได้ปรับใช้แพตช์ทันทีหลังจากการค้นพบเวิร์ดเฟนซ์.ด้วยการสนับสนุนของทีม WordPress พวกเขาจึงผลักดันปลั๊กอินเวอร์ชัน 9.1.2 duไม่กี่วันที่ผ่านมา เพื่อปกป้องตนเอง ผู้ใช้ควรติดตั้งปลั๊กอินเวอร์ชันล่าสุดโดยเร็วที่สุด จนถึงขณะนี้ มีไซต์มากกว่า 450,000 แห่งที่ใช้เวลาในการติดตั้งแพตช์นี้ เว็บไซต์ที่ได้รับผลกระทบมากกว่าสามล้านเว็บไซต์ยังคงมีช่องโหว่...
จนกว่าผู้ดูแลระบบทั้งหมดจะติดตั้งแพตช์ อาชญากรไซเบอร์อาจสามารถใช้ประโยชน์จากการละเมิดได้ควบคุมเว็บไซต์- เมื่อเว็บไซต์อยู่ในมือแล้ว พวกเขาก็จะมีอิสระที่จะทำอะไรก็ได้ตามต้องการ โดยเฉพาะอย่างยิ่งอาจแสดงกลโกง หน้าฟิชชิ่ง หรือลิงก์ที่บังคับให้ติดตั้งมัลแวร์ ในอดีตโจรสลัดก็มีใช้เป็นไซต์ WordPress ที่ถูกบุกรุกเพื่อแพร่กระจายมัลแวร์สามารถขโมย cryptocurrencies ได้ นี่คือประตูที่เปิดกว้างสำหรับการละเมิดทั้งหมด
ในบริบทนี้เวิร์ดเฟนซ์ให้กำลังใจ“ผู้ให้บริการโฮสติ้งต้องบังคับให้อัปเดตไคลเอนต์ของตนและทำการสแกนระบบไฟล์โฮสติ้งเพื่อให้แน่ใจว่าไม่มีไคลเอนต์ใดใช้งานปลั๊กอินเวอร์ชันที่ไม่ได้รับการอัปเดต”-
นี่ไม่ใช่ครั้งแรกในปีนี้ที่ปลั๊กอิน WordPress ยอดนิยมทำให้เว็บไซต์จำนวนมากตกอยู่ในความเสี่ยง ต้นปีช่องโหว่ในปลั๊กอิน Popup Builderนำไปสู่การแฮ็กเว็บไซต์นับพันแห่ง ข้อบกพร่องนี้ถูกใช้หลายครั้งก่อนที่การอัปเดตจะแก้ไขสถานการณ์ ล่าสุดมันเป็นปลั๊กอิน LiteSpeed Cache ที่ใกล้สูญพันธุ์เว็บไซต์ WordPress มากกว่าหกล้านแห่ง-
🔴 เพื่อไม่พลาดข่าวสาร 01net ติดตามเราได้ที่Google ข่าวสารetวอทส์แอพพ์-
แหล่งที่มา : เวิร์ดเฟนซ์
