Znajdź zawartość

Przed kilkoma dniami doszło do wielkiego atak na 1,3 miliona witryn korzystających z oprogramowania WordPress. Przestępcy próbowali ukraść pliki konfiguracyjne oraz informacje potrzebne do logowania do bazy danych. Nieudana próba ataku została przeprowadzona na stare luki XSS w pluginach i skórkach do WordPressa. Jak poinformowali specjaliści z firmy Wordfence, którzy powstrzymali napastników, przestępcy chcieli pobrać pliki wp-config.php. Ich zdobycie pozwoliłoby im na uzyskanie dostępu du baz danych. Pomiędzy 29 a 31 maja zaobserwowano i zablokowano ponad 130 milionów prób ataku skierowanych przeciwko 1,3 milionowi witryn. Szczyt nastąpił 30 maja. W tym dniu dokonano 75% wszystkich prób nielegalnego zdobycia danych, usiłując wykorzystać dziury w pluginach i skórkach na platformach WordPress, czytamy w wydanym komunikacie. Badacze połączyli te ataki z działaniem tej samej grupy, która 28 kwietnia próbowała wstrzyknąć na witryny złośliwy kod JavaScript. Jego zadaniem było przekierowywanie użytkownika z uprawnieniami administratora na złośliwą witrynę, z której można było dokonać ataku. Oba ataki udało się połączyć dzięki temu, że zarówno w kwietniu jak i maju przestępcy korzystali z tej samej puli 20 000 adresów IP. Eksperci przypominają właścicielom witryn, że jeśli ich strona padła ofiarą ataku, należy natychmiast zmienić hasła dostępu oraz klucze uwierzytelniające. Jeśli konfiguracja twojego serwera pozwala na uzyskanie zdalnego dostępu do bazy danych, napastnik, który zdobył taki dostęp może z łatwością dodać konto administratora, uzyskać dostęp do poufnych informacji lub w ogóle zlikwidować twoją witrynę. Nawet jeśli twój serwer nie pozwala na zdalny dostęp do bazy danych, to jeśli napastnik zdobył klucze uwierzytelniające, może ich użyć do ominięcia kolejnych zabezpieczeń, czytamy w oświadczeniu. Osoby korzystające z WordPressa powinny też upewnić się, czy wykorzystują najnowsze wersje dodatków i czy na bieżąco łatają pojawiające się dziury. Warto przypomnieć, że przed kilkoma tygodniami znaleziono dwie dziury w pluginie Page Builder. Plugin ten jest zainstalowany na milionie witryn, a zanlezione dziury pozwalają przestępcom na przejęcie kontroli nad witryną. « powrót do artykułu

Cyberprzestępcy otrzymali na talerzu dostęp do kilkuset tysięcy witryn wykorzystujących WordPressa. Wszystko przez dziurę w dodatkach InfiniteWP Client oraz WP Time Capsule. Oba pluginy padły ofiarą tej samej dziury, która pozwala na ominięcie procesu autoryzacji i daje napastnikowi dostęp do samego WordPressa i serwera. Jedyne, czego przestępca potrzebuje, by ominąć zabezpieczenia jest... znajomość loginu użytkownika WorPressa. Oba pluginy zawierają błędy logiczne, które pozwalaja na zalogowanie się do konta administratora bez znajomości hasła. Gdy zajrzymy na witrynę z dodatkami do WordPressa możemy przekonać się, że InfiniteWP Client jest wykorzystywany w ponad 300 000 aktywnych instalacji, a z WP Time Capsule korzysta kolejnych ponad 20 000 witryn. Można więc założyć, że w dziury zagrażają bezpieczeństwu ponad 300 000 witryn opartych na WordPressie. O istnieniu dziur twórcy dodatków zostali poinformowali 7 stycznia, dzień później udostępnili poprawioneich wersje, a dzisiaj publicznie poinformowano o dziurach. W przypadku InfiniteWP Client na atak narażone są wszystkie wersje dodatku wcześniejsze od 1.9.4.5. Dziura zagraża też WP Time Capsule wcześniejszym od 1.21.16. Użytkownicy wspomnianych dodatków powinni jak najszybciej zainstalować poprawione wersje. « powrót do artykułu

WordPress zakończył wsparcie dla Internet Explorera 6. Oznacza to, że użytkownicy tej przeglądarki nie będą mogli korzystać z niezwykle popularnej platformy blogowej. Odwiedzając WordPressa za pomocą IE6 zobaczymy informację o niemożności zalogowania się i odnośnik do witryny, skąd można pobrać nowszą wersję przeglądarki. „Spowodowanie, by WordPress działał na IE6 wymagało od nas sporo pracy. IE6 powstał 10 lat temu i nie wspiera najnowszych standardów" - stwierdziła Jane Wells, odpowiedzialna w WordPressie za doświadczenie użytkownika. Zapowiedziała jednocześnie, że podobne działania będą podejmowane w przypadku innych przestarzałych przeglądarek. Działania WordPressa z pewnością spodobają się Microsoftowi, który od dłuższego czasu stara się namówić użytkowników do porzucenia szóstej wersji IE.

Microsoft i Wordpress zawarły porozumienie, na mocy którego miliony osób korzystających z platformy blogowej Windows Live Spaces będą mogły automatycznie przenieść się na platformę Wordpress. Koncern z Redmond ma zamiar zamknąć Live Spaces. Już dzisiaj internauci próbujący założyć bloga na platformie Microsoftu są przekierowywani na Wordpress.com. Z blogowych usług Microsoftu korzysta obecnie około 30 milionów osób. Ich blogi oraz towarzyszące im zdjęcia czy komentarze zostaną przeniesione automatycznie, a adresy URL - przekierowane. Każdy z użytkowników ma pół roku na przeniesienie bloga za pomocą narzędzia Auttomatic. Po przeniesieniu autorzy zyskają możliwość powiązania swojego bloga z komunikatorem Messenger, dzięki czemu będą mogli automatycznie informować znajomych z listy kontaktów Messengera o nowych wpisach na blogu.