Luka w popularnej wtyczce WordPress. Miliony witryn zagrożone cyberatakami

Popularna wtyczka WordPress okazała się wrażliwa na ataki hakerskie. Użytkownicy, którzy korzystają z Advanced Custom Fields są proszeni o zaktualizowanie jej do wersji 6.1.6, gdyż poprzednie iteracje miały luki w zabezpieczeniach.

WordPress jest napisanym w języku PHP systemem zarządzania treścią, który projektowano do obsługi blogów. Rozpowszechniany jest na licencji GNU, więc korzystać z niego można bezpłatnie, choć ma płatną wersję Pro. WordPress jest niezwykle popularny i według danych firmy analitycznej W3Techs, na tym systemie we wrześniu 2022 roku bazowało aż 43 proc. stron internetowych na świecie.

W czym problem?

Problem, o którym mowa został oznaczony identyfikatorem CVE-2023-30777 i dotyczy skryptu, który może zostać wykorzystany do umieszczenia dowolnych wykonywalnych skryptów w niezabezpieczonych stronach internetowych. Wadliwa wtyczka jest dostępna zarówno w bezpłatnej wersji systemu, jak i w wersji Pro, a zainstalowano ją już ponad 2 miliony razy. Problem zgłoszono WordPressowi 2 maja 2023 roku.

Ta luka w zabezpieczeniach umożliwia każdemu nieuwierzytelnionemu użytkownikowi kradzież poufnych informacji o celu, w tym przypadku eskalacji uprawnień w witrynie WordPress, poprzez nakłonienie uprzywilejowanego użytkownika do odwiedzenia spreparowanej ścieżki URL
Rafie Muhammad, badacz Patchstack

Ataki mają miejsce, gdy ofiary są nakłaniane do kliknięcia fałszywego łącza wysłanego e-mailem albo poprzez inny komunikator, co powoduje wysłanie złośliwego kodu do podatnej na ataki witryny internetowej. Konieczność zastosowania socjotechniki, by ofiara kliknęła w link sprawia, że problem nie ma takiego zasięgu i skali, dlatego cyberprzestępcy rozsyłają szkodliwy odsyłacz do jak największej liczby użytkowników.

Aktualizacja rozwiąże problem?

Zaktualizowanie wtyczki do wersji 6.1.6 powinno sprawić, że wykorzystywanie luki przestanie być możliwe, jednak nadal należy uważać na linki przesyłane przez podejrzane adresy mailowe. Nowe luki w oprogramowaniu tego typu są znajdowane regularnie, jednak nie każda z nich jest tak wysoce szkodliwa. Niemniej hakerzy bywają niezwykle kreatywni w wykorzystywaniu tych luk.

bezpieczeństwo, cyberbezpieczeństwo, haker, hakerzy, Strony internetowe, Wordpress

Podziel się postem:

Najnowsze:

Oprogramowanie

Unia Europejska przejdzie na Linuxa? Powstaje dystrybucja EU OS

Unia Europejska może wkrótce podjąć kroki w kierunku uniezależnienia się od amerykańskiego oprogramowania. Społeczność entuzjastów pod patronatem władz UE pracuje nad projektem EU OS, który ma zastąpić system operacyjny Windows w instytucjach rządowych. Wybór padł na modyfikację dystrybucji Fedora Linux, która zostanie dostosowana do potrzeb urzędników poprzez interfejs przypominający Windows.

Mateusz Kalina 28 marca 2025

Bezpieczeństwo

Przełomowa kwantowa technologia generowania liczb losowych z WAT: Szczegółowa analiza i perspektywy

W dzisiejszym zaawansowanym technologicznie świecie, prawdziwie losowe liczby stanowią fundament wielu kluczowych dziedzin. Od zabezpieczania komunikacji poprzez kryptografię aż po przeprowadzanie złożonych symulacji naukowych i inżynierskich , generowanie nieprzewidywalnych sekwencji danych jest niezbędne. Losowość odgrywa również istotną rolę w grach losowych , w sektorze finansowym , gdzie zapewnia unikalność transakcji, oraz w badaniach statystycznych. W kryptografii, siła klucza szyfrującego jest bezpośrednio związana z jakością i stopniem losowości użytym do jego wygenerowania . Im wyższa entropia źródła losowego, tym trudniejszy do złamania staje się klucz. Prawdziwa losowość jest zatem kluczowym elementem zapewniającym bezpieczeństwo w cyberprzestrzeni, wzmacniając algorytmy szyfrujące i chroniąc integralność przesyłanych oraz przechowywanych danych . Zapotrzebowanie na generatory liczb losowych o wysokiej jakości i nieprzewidywalności stale rośnie, co jest bezpośrednio powiązane z postępem technologicznym i coraz większym znaczeniem bezpieczeństwa informacji. Wraz z dynamicznym przenoszeniem coraz większej liczby aspektów naszego życia do sfery cyfrowej, ilość generowanych i przesyłanych danych nieustannie wzrasta. Ochrona tych danych przed nieautoryzowanym dostępem i manipulacją staje się priorytetem, a prawdziwa losowość jest nieodzownym narzędziem do skutecznego szyfrowania i zabezpieczania przed różnego rodzaju atakami.

Mateusz Kalina 23 marca 2025

Bezpieczeństwo

Prawdopodobnie DeepSeek Zna Twoje Sekrety: Analiza Bezpieczeństwa Danych Treningowych LLM

Prawdopodobnie DeepSeek zna Wasze sekrety oraz klucze API! Takie ostrzeżenie pojawiło się na łamach Sekurak.pl. W dynamicznie rozwijającym się świecie dużych modeli językowych (LLM), gdzie innowacje pojawiają się niemal codziennie, DeepSeek AI szybko zyskał miano znaczącego gracza, budząc zainteresowanie swoimi możliwościami i efektywnością. Jednakże, wraz z postępem technologicznym, pojawiają się również nowe wyzwania w obszarze bezpieczeństwa. Niedawne odkrycie dokonane przez badaczy z Truffle Security rzuca nowe światło na potencjalne zagrożenia związane z danymi treningowymi tych zaawansowanych modeli. Wnikliwa analiza publicznie dostępnego zbioru danych Common Crawl, wykorzystywanego do trenowania LLM, w tym DeepSeek, ujawniła obecność licznych, potencjalnie wciąż aktywnych kluczy API i haseł.

Mateusz Kalina 18 marca 2025