Εάν χρησιμοποιείτε πρόσθετα (plugins) στον ιστότοπό σας WordPress ήρθε η ώρα να ρίξετε μια ματιά στο τι χρησιμοποιείτε. Η Ars Technica αναφέρει ότι αυτή την στιγμή hackers επιτίθενται σε 30 plugins με κενά ασφαλείας.
Πάνω από το 40% των ιστότοπων χρησιμοποιούν WordPress ένα πολύ δημοφιλές Σύστημα Διαχείρισης Περιεχομένου ιστοτόπων (CMS από το Content Management System). Ένας από τους λόγους που είναι τόσο δημοφιλές είναι ότι μπορεί εύκολα να επεκταθεί η λειτουργία προσθέτοντας plugins, από τα οποία υπάρχουν δεκάδες χιλιάδες.
Αν το WordPress διατηρείται ενημερωμένο και προστατεύεται από έλεγχο ταυτότητας δύο παραγόντων, είναι αρκετά ασφαλές. Έτσι τα τελευταία χρόνια οι κακόβουλοι χρήστες επικεντρώνονται περισσότερο σε επιθέσεις μέσω κενών ασφαλείας στα plugins.
Τα πρόσθετα δημιουργούνται από τρίτους και ποικίλλουν σε μεγάλο βαθμό σε ποιότητα. Ορισμένα ενημερώνονται συχνά, ενώ άλλα δεν υποστηρίζονται. Ορισμένα είναι τόσο δημοφιλή που διαθέτουν ομάδες αμειβόμενου προσωπικού, ασφαλείς κύκλους ενημερώσεων και εκατομμύρια χρήστες, ενώ άλλα αναπτύσσονται από κάποιον προγραμματιστή ,που δεν συνεχίζει να τα υποστηρίζει. Και ενώ το WordPress ενημερώνεται τακτικά με επιδιορθώσεις ασφαλείας, η ενημέρωση των plugins δεν είναι και τόσο σίγουρη.
Έτσι τα νέα για ένα κακόβουλο λογισμικό που στοχεύει μη ενημερωμένα plugins δεν αποτελούν έκπληξη. Οι ερευνητές μάλιστα αναφέρουν ότι το κακόβουλο λογισμικό που χρησιμοποιείται σε αυτές τις επιθέσεις μπορεί να κυκλοφορεί εδώ και τρία χρόνια.
Η Ars Technica αναφέρει ότι μόλις εντοπιστεί κάποιος ευάλωτος ιστότοπος, οι επιτιθέμενοι εισάγουν κακόβουλα scpipts στις σελίδες του, που ανακατευθύνουν τους επισκέπτες σε κακόβουλους ιστότοπους.
Σύμφωνα με την έρευνα του Dr Web, οι επιθέσεις χρησιμοποιούν μη επιδιορθωμένες εκδόσεις των παρακάτω plugins ή θεμάτων:
- WP Live Chat Support Plugin
- WordPress – Yuzo Related Posts
- Yellow Pencil Visual Theme Customizer Plugin
- Easysmtp
- WP GDPR Compliance Plugin
- Newspaper Theme on WordPress Access Control (vulnerability CVE-2016-10972)
- Thim Core
- Google Code Inserter
- Total Donations Plugin
- Post Custom Templates Lite
- WP Quick Booking Manager
- Facebook Live Chat by Zotabox
- Blog Designer WordPress Plugin
- WordPress Ultimate FAQ (vulnerabilities CVE-2019-17232 and CVE-2019-17233)
- WP-Matomo Integration (WP-Piwik)
- WordPress ND Shortcodes For Visual Composer
- WP Live Chat
- Coming Soon Page and Maintenance Mode
- Hybrid
- Brizy WordPress Plugin
- FV Flowplayer Video Player
- WooCommerce
- WordPress Coming Soon Page
- WordPress theme OneTone
- Simple Fields WordPress Plugin
- WordPress Delucks SEO plugin
- Poll, Survey, Form & Quiz Maker by OpinionStage
- Social Metrics Tracker
- WPeMatico RSS Feed Fetcher
- Rich Reviews plugin
Περιττό να αναφέρουμε ότι αν χρησιμοποιείτε κάτι από τα παραπάνω θα πρέπει να το αφαιρέσετε άμεσα, και να ελέγξετε το site σας για κακόβουλο κώδικα.
