Уязвимость плагина кэширования WordPress затрагивает более 5 миллионов веб-сайтов

Как опытный эксперт по SEO с более чем десятилетним опытом работы в цифровой сфере, я видел свою долю угроз кибербезопасности. Недавняя уязвимость в плагине LiteSpeed ​​Cache WordPress является ярким напоминанием о том, почему мы никогда не должны терять бдительность.


Около 5 миллионов установок плагина LiteSpeed ​​Cache WordPress могут оказаться под угрозой из-за уязвимости. Эта слабость потенциально может позволить неавторизованным пользователям получить права администратора, что позволит им загружать вредоносные файлы и дополнительные плагины на веб-сайты.

Первоначально проблема была доведена до сведения Patchstack, фирмы, занимающейся безопасностью WordPress, которая затем проинформировала об этом разработчика плагина. Они предпочли хранить молчание до тех пор, пока проблема не будет устранена и не будет доступен патч, после чего они сделали публичное заявление.

В беседе с Search Engine Journal основатель Patchstack Оливер Силд поделился мыслями о процессе обнаружения и серьезности уязвимости.

«Информация поступила из программы WordPress Bug Bounty через Patchstack, где исследователи в области безопасности вознаграждаются за обнаружение уязвимостей. Этот конкретный отчет получил награду в размере 14 400 долларов США. Чтобы гарантировать, что уязвимость устранена надлежащим образом до публичного объявления, мы сотрудничаем напрямую как с исследователем, так и с разработчиком плагина.»

С начала августа мы бдительно следим за средой WordPress на предмет потенциальных случаев эксплуатации. Пока мы не заметили каких-либо широкомасштабных эксплойтов. Однако мы ожидаем, что такие эксплойты могут произойти в ближайшем будущем.

«Эта проблема чрезвычайно серьезна из-за ее широкого использования. Пока мы говорим прямо сейчас, хакеры, несомненно, рассматривают возможность ее использования».

Что вызвало уязвимость?

Как эксперт по SEO, я бы перефразировал это техническое заявление так: «Я обнаружил проблему безопасности, которая использует преимущества имитируемых пользовательских функций в конкретном плагине. Эта функция защищена хэшем безопасности, который использует легко узнаваемые ценности, что делает его слабым и склонным к эксплуатации».

К сожалению, метод, который я использовал для генерации хэшей безопасности, не лишен недостатков. Из-за этих проблем потенциальным угрозам слишком легко предсказать возможные последствия.

Рекомендация

Пользователям плагина LiteSpeed ​​WordPress рекомендуется немедленно обновить свои сайты, поскольку хакеры могут охотиться за сайтами WordPress для использования. Уязвимость была исправлена ​​в версии 6.4.1 19 августа.

Пользователи, пользующиеся службой безопасности Patchstack WordPress, получают немедленную защиту от уязвимостей. Эта услуга доступна как в бесплатной версии, так и в премиум-плане по цене всего 5 долларов в месяц.

Подробнее об уязвимости:

Критическое повышение привилегий в плагине LiteSpeed ​​Cache, затронувшее более 5 миллионов сайтов

Смотрите также

2024-08-23 12:38