數(shù)以百萬(wàn)計(jì)的WordPress網(wǎng)站剛剛獲得重大安全升級(jí)
Jetpack 是一個(gè)非常受歡迎的WordPress 插件，其開(kāi)發(fā)人員強(qiáng)制安裝了一個(gè)緊急更新，以修復(fù)威脅超過(guò) 500 萬(wàn)個(gè)網(wǎng)站安全的漏洞。 據(jù) Bleeping Computer 報(bào)道，化名為 nguyenhg_vcs 的用戶(hù)發(fā)現(xiàn)了 Jetpack 處理不同圖像評(píng)論的安全漏洞。一經(jīng)確定，Automattic(該公司構(gòu)建和管理 WordPress(世界上最受歡迎的內(nèi)容管理系統(tǒng)之一)和 Jetpack(一個(gè)提供許多好處的插件，從額外的安全性、改進(jìn)的性能到各種管理功能)準(zhǔn)備了安全更新和，由于威脅的嚴(yán)重性，決定將其推到所有人身上。
到目前為止，已經(jīng)更新了大約 500 萬(wàn)個(gè)網(wǎng)站，下載統(tǒng)計(jì)頁(yè)面顯示幾乎所有受影響的網(wǎng)站都受到保護(hù)。我們不知道該錯(cuò)誤實(shí)際上允許黑客做什么的詳細(xì)信息，但我們知道 Automattic 通過(guò)添加進(jìn)一步的授權(quán)邏輯修復(fù)了它。
Automattic 表示，沒(méi)有證據(jù)表明該漏洞被廣泛使用，但現(xiàn)在它已經(jīng)公開(kāi)，很可能會(huì)開(kāi)始被使用。
“現(xiàn)在更新已經(jīng)發(fā)布，有人試圖利用這個(gè)漏洞只是時(shí)間問(wèn)題，”開(kāi)發(fā)人員說(shuō)。
“為了在此過(guò)程中為您提供幫助，我們與 WordPress.org 安全團(tuán)隊(duì)合作發(fā)布了自 2.0 以來(lái)每個(gè)版本的 Jetpack 的修補(bǔ)版本，”Automattic 說(shuō)。“大多數(shù)網(wǎng)站已經(jīng)或即將自動(dòng)更新為安全版本。”
強(qiáng)制更新不是網(wǎng)站管理員特別喜歡的東西，并且經(jīng)常直言不諱地談?wù)撍鼈儗?duì)網(wǎng)站布局及其性能造成的問(wèn)題。幾年前在 Twitter 上解決這個(gè)問(wèn)題時(shí)，WordPress 首席開(kāi)發(fā)人員 Andrew Nacin 表示，該公司只做過(guò)幾次。
Bleeping Computer 提醒說(shuō)，在 2019 年，開(kāi)發(fā)人員向 Jetpack 用戶(hù)推送了一個(gè)關(guān)鍵的安全更新，修復(fù)了處理嵌入代碼的錯(cuò)誤。
標(biāo)簽： WordPress網(wǎng)站