חדשות וורדפרס
פרצות אבטחה בפאנל ניהול וורדפרס הינן גורם נפוץ למתקפות האקרים. לוורדפרס קיימים תוספי אבטחה רבים אשר יכולים לשפר מאוד את אבטחת האתר, אך האחריות של מנהל האתר להתקין ולהגדיר את מערכי האבטחה וכן לעדכן אותם כל פעם שיוצא עדכון אבטחה חדש. מנהלי אתרי וורדפרס אינם ששים להתמודד עם איומי אבטחה ועם תוספי אבטחה ובמקרים רבים, […]
וורדפרס – תיקון פרצות הפניה לאתרי ספאם 03/2/22
האקרים מנצלים באופן קבוע תוספי וורדפרס פגיעים כדי לסכן אתרי וורדפרס ולהפנות מבקרים לאתרי ספאם והונאה. זוהי מלחמה המתמשכת כבר שנים רבות. דומיינים מזוייפים מוחלפים ומתעדכנים באופן קבוע, אבל המטרה נשארת זהה: להערים על משתמשים תמימים ללחוץ על קישורים זדוניים כדי להפיץ תוכנות פרסום ולדחוף פרסומות מזויפות לשולחן העבודה של הקורבן. אתר SUCURI מדווחים כי […]
גניבת פרטי אשראי דרך גופנים ופביקון – פרצת אבטחה ברכיב WooCommerce 02/23/22
אתר SUCURI מדווח על חקירת פרצת אבטחה ברכיב החנות המקוונת WooCommerce לאתרי וורדפרס, אשר החלה בדיווח על אזהרת אנטי-וירוס המופיעה רק בדף התשלום, כמובן בזמן הגרוע ביותר האפשרי – חגי דצמבר. מה שנראה תחילה כמקרה שגרתי של גניבת פרטי כרטיסי אשראי, התברר כנוזקה הרבה יותר מתוחכמת אשר מינפה גופנים, את ה-favicon וקבצים נוספים בשימוש פחות […]
פרצת אבטחה בפלאגין וערכת עיצוב וורדפרס – AccessPress 01/31/22
אתר SUCURI מדווח כי חוקרי אבטחה ב-Automatic מצאו לאחרונה כי תוסף וורדפרס הפופולרי וערכת העיצוב AccessPress נפגעו והתוכנה שלהם הוחלפה בגרסאות הכוללות דלת אחורית על ידי מתקפת "שרשרת אספקה". נראה כי פרצת האבטחה הזו התרחשה בספטמבר 2021 ורק לאחרונה פורסמה לציבור. משתמשים שהשתמשו בתוכנה שהושגה ישירות מאתר AccessPress סיפקו ללא ידיעת התוקפים גישה לדלת אחורית, […]
פריצת אבטחה חמורה בפלאגין All in One 12/23/21
SUCURI מדווחים כי חוקר אבטחה בחברת Automatic Marc Montpas גילה לאחרונה שתי פרצות אבטחה חמורות בתוך אחד מתוספי ה- SEO הפופולריים ביותר שבהם משתמשים בעלי אתרי וורדפרס: All in One SEO. התוסף נמצא בשימוש של משלושה מיליון אתרי וורדפרס ועלול נזקים כבדים למשתמשי וורדפרס שלא יעדכנו את הפלאגין לגירסתו המתוקנת. All in One SEO הוא […]
פריצות פארמה לאתרי וורדפרס 12/21/21
בחברת Sucuri ביצעו מחקר ולפיו עולה כי כרבע מכל הודעות הספאם הנשלחות מאתרי וורדפרס מיוחסות למודעות פרמצבטיות. פריצות פארמה אלו פועלות מעבר לתיבת הדואר הנכנס על ידי הפניית תנועה לאתרי ספאם, הוספת מילות מפתח ותת-דומיינים מזויפים לתוצאות החיפוש. מדוע ואיך הסתבך עולם הרפואה בהודעות דואר זבל והפניות ספאם? התשובה היא – כסף: בארה"ב האמריקאים משלמים […]
ניסיון גניבת פרטי כרטיס אשראי באתר וורדפרס 11/28/21
אתר SUCURI מדווחים על תופעה בה דף תשלום מזויף מופיע באתר וורדפרס כאשר מנסים לגשת לדף "החשבון שלי" מוצגת בדפדפן הנחיה לא מוכרת המבקשת פרטי חיוב בכרטיס אשראי. הטופס המבקש מהמשתמש להזין פרטי כרטיס אשראי הוצב בבירור במהלך פריצה לאתר. חשוב לציין כי מדובר באתר וורדפרס שבכלל אינו מקבל תשלומים מקוונים! מקור הנוזקה התגלה באמצעות […]
פרצת אבטחה בוורדפרס מאפשרת הפנייה לאתרי ספאם 09/26/21
לאחרונה גילו אנליסטים של SUCURI נוזקה הגורמת לסדרה של הזרקות זדוניות באתרי וורדפרס. הנוזקה שהתגלתה אופיינית לזיהומי ניתוב אשר מפנים מבקרים באתר וורדפרס לקבצים זדוניים המתארחים באתרים נגועים של צד שלישי. נמצא כי הנוזקה מאחסנת את עצמה כתוכן מקודד בבסיס הנתונים ונקראת באמצעות פונקציות אקראיות המפוזרות בקבצי תוספים, באמצעות פונקציית וורדפרס נפוצה מאוד "get_option". התופעה […]
וורדפרס – הקשחת אבטחה 07/29/21
תצורות אבטחה בסיסיות של וורדפרס נוטות לא להיות מאובטחות במיוחד. קיים שפע של דרכים שונות שבעלי אתרי וורדפרס יכולים לנעול את האתר ובמאמר זה נסקור מנגנוני הקשחת אבטחה שבעלי אתרי וורדפרס יכולים להשתמש בהם בכדי לשפר את האבטחה שלהם. נעילת wp-admin – נתחיל מדף הכניסה הבסיסי של פאנל ניהול וורדפרס: דף הכניסה לניהול וורדפרס הוא […]
וורדפרס – פרצת אבטחה בפלאגין העלאת תוספים 06/22/21
פרצת אבטחה בפאנל ניהול וורדפרס הינה בגדר פרצת אבטחה המסכנת את האתר כולו. פרצת אבטחה שהתגלתה על ידי SUCURI בפלאגין העלאת תוספים, הינו הוא דוגמה מושלמת לכך. אתר SUCURI מדווח על תופעה של פריצה לאתרי וורדפרס על ידי האקרים המנצלים לרעה את פונקציונליות העלאת התוספים בפאנל ניהול וורדפרס, במטרה להפנות את בעלי האתר ואת המבקרים […]
פרצת אבטחה ברכיב WooCommerce 04/22/21
במהלך השנים האחרונות התמקדו האקרים שמטרתם להשיג פרטי כרטיסי אשראי, בעיקר בפלטפורמות ספציפיות למסחר אלקטרוני כמו מג'נטו, PrestaShop ו- OpenCart (בידיעה ש – 100% מאתרים אלו מכילים מידע אישי ואמצעי תשלום). עם זאת, לאור הפופולריות של וורדפרס והשכיחות שצברה בעולם המסחר המקוון, היה זה רק עניין של זמן עד שהפלטפורמה קיבלה מיקוד מצד האקרים וכיום, […]
נוזקה חדשה משביתה תוספי אבטחה של וורדפרס 09/15/20
מערכת ניטור הינה כלי מצוין לשיפור אבטחת האתר, אולם מה קורה כאשר האקר משבית בקלות את מערכת הניטור? אתר sucuri מדווח על נוזקה חדשה אשר משביתה פלאגינים של וורדפרס שנועדו לאבטח את האתר. באתר sucuri דיווחו בעבר על נוזקות אשר משבשות הקשחות אבטחה באתרי וורדפרס, אולם יחד עם זאת, רוב אמצעי הקשחת האבטחה עוקבים אחר […]
פרצת אבטחה בפלאגין File Manager של וורדפרס 09/8/20
אתר Sucuri מדווח כי עודכן פלאגין File Manager לאחר שזוהתה פרצת אבטחה קריטית אשר איפשרה לכל מבקר באתר לקבל גישה מלאה. פלאגין מנהל הקבצים מאפשר לערוך, למחוק, להעלות, להוריד, לכווץ, להעתיק ולהדביק קבצים ותיקיות ישירות מפאנל ניהול וורדפרס ללא צורך בחשבון FTP. משתמשי WAF מעולם לא היו פגיעים לפרצת אבטחה זו וכן מדווחים Sucuri כי […]
וורדפרס – פלאגין SiteSpeed מזויף 07/23/20
אתר sucuri מדווח על גילוי פלאגין וורדפרס מזויף בשם SiteSpeed אשר מאפשר להאקרים ליצור דלתות אחוריות באתרי וורדפרס. במהלך תחקיר שנערך לאחרונה על ידי אנשי sucuri, התגלה פלאגין מזויף זה אשר עלול להיראות לכל עין כתוסף וורדפרס לגיטימי. הפלאגין משמש האקרים על מנת להציג מודעות ופרסומות באתר וורדפרס ועל מנת למנוע מאיתור הקובץ הזדוני בין קבצי […]
וורדפרס – עדכון גירסה 5.4.2 06/23/20
גירסת וורדפרס 5.4.2 זמינה כעת להורדה ושימוש קהילת וורדפרס ברחבי העולם. גירסת אבטחה ותחזוקה זו כוללת גם 23 תיקונים ושיפורים. בנוסף, עדכון זה של וורדפרס מוסיף מספר תיקוני אבטחה ותיקוני באגים המשפיעים על גרסאות וורדפרס 5.4.1 ומעלה. מומלץ לכל בעלי אתר וורדפרס לעדכן לגירסה העדכנית 5.4.2. גרסאות קודמות של וורדפרס 5.4 ומעלה מושפעות מהבאגים הבאים […]
גניבת מידע מרכיב WooCommerce של וורדפרס 05/20/20
במהלך חקירה שנערכה לאחרונה על ידי Sucuri, התגלתה נוזקה המאפשרת להאקרים לזהות אתרי וורדפרס המשתמשים באופן פעיל ב- WooCommerce בסביבת אחסון אתרים שזוהתה כבעלת בעיות אבטחה. WooCommerce הינו כידוע, תוסף וורדפרס רב עוצמה אשר נועד להקמה ותפעול שוטף של חנות מסחר אלקטרוני. הפופולריות של WooCommerce אפשרה לו ליצור לעצמו נתח שוק גדול במהירות ולהפוך לאחת […]
וורדפרס – עדכון גירסה 5.4.1 04/30/20
גירסת וורדפרס 5.4.1 זמינה להורדה ושימוש קהילת וורדפרס. מהדורת אבטחה ותחזוקה זו כוללת 17 תיקוני באגים בנוסף ל -7 תיקוני אבטחה. מכיוון שמדובר במהדורת אבטחה, מומלץ לעדכן מיידית כל אתר וורדפרס לגירסה זו. וורדפרס 5.4.1 הינה שחרור אבטחה ותחזוקה קצר מחזור. המהדורה הגדולה הבאה תהיה גרסה 5.5. עדכוני האבטחה כוללים: תיקון בעיה בה אסימוני איפוס […]
גניבת פרטי אשראי מרכיב WooCommerce באתרי וורדפרס 04/28/20
אתר Sucuri מדווח על הפרת אבטחה חדשה יחסית באתרי וורדפרס העושים שימוש במערכת WooCommerce למסחר מקוון: Credit Card Swiper Injection – הזרקת סוויפר בכרטיס אשראי. סוג זה של תקיפה אופייני יותר לפלטפורמות מסחר אלקטרוני כמו מג'נטו ופרסטה שופ, אולם ניכר כי הפופולריות של רכיב WooCommerce באתרי וורדפרס יצרה זירת לחימה חדשה עבור האקרים אשר מנסים […]
OneTone – פרצת אבטחה בערכת עיצוב וורדפרס 04/22/20
אתר Sucuri מדווח על פרצת אבטחה בערכת עיצוב וורדפרס שנקראת OneTone. הפיתוח והתמיכה בערכת עיצוב זו הופסק, אולם במידה וקיימים אתרי וורדפרס אשר עדיין עושים שימוש בערכת עיצוב זו, מומלץ להחליפה או לפעול מיידית לתיקון פרצת האבטחה. פרצת אבטחה XSS התגלתה בערכת העיצוב OneTone אשר גורמת באמצעות הזרקת JavaScript להפניית גולשים באתר המשתמש בערכה זו, […]
מתקפות Brute Force על בסיס הנתונים של וורדפרס 03/15/20
מתקפת Brute Force על אתר אינטרנט הינה סוג של מתקפת סייבר המהווה ניסיונות להשגת שם משתמש וסיסמא המתאימים לכניסה מורשית לניהול תכני האתר. האקרים המשתמשים במתקפות Brute Force מאפשרים למחשב מרוחק לבצע עבורם את העבודה – ניסיונות של שילובים שונים של שמות משתמשים וסיסמאות, עד שנמצא השילוב המתאים לכניסה לניהול האתר. ידוע כי פרטי הכניסה […]
זיהוי והסרת ספאם SEO באתר וורדפרס 02/23/20
מכיוון שאתרי וורדפרס נפוצים כל כך, יחד עם נקודות התורפה של אתרי וורדפרס, הם לעתים קרובות יעד למתקפות והונאות. כאשר אתר וורדפרס נפרץ, להאקר ניתנת למעשה יד חופשית לשלוט באתר כדי לקדם כל מספר וסוג של יעדים זדוניים. במושג ספאם SEO, הכוונה היא ליכולת של האקרים להזריק לאתר וורדפרס מילות מפתח במטרה למשוך תנועה לאתרים […]
וורדפרס – פרצת אבטחה חדשה בפלאגינים 06/30/19
אתר Sucuri מדווח על פרצת אבטחה חדשה במספר פלאגינים של וורדפרס, אשר בעטייה יכולים האקרים להוסיף את מילת המפתח "1800ForBail" לכותרת (Title) של אתרי וורדפרס פגיעים. נכון לרגע זה מציג גוגל בתוצאות החיפוש שלו 158,000 תוצאות עבור חיפוש מילת המפתח שהוזרקה לאתרי וורדפרס. פרצת אבטחה זו נוצרה לאחר שהאקרים הצליחו לגשת דרך פלאגינים פגיעים של […]
נוזקה בפלאגין גיבוי בסיס נתונים וורדפרס 06/13/19
אתר Sucuri מדווח על גילוי נוזקה בפלאגין WP Database Backup. הפלאגין מסייע לבעלי אתרי וורדפרס ליצור גיבוי של בסיס הנתונים של האתר ולשחזר אותו בקלות. הפלאגין מאפשר אחסון של בסיס הנתונים ב- Dropbox, כונן גוגל, אמזון S3. על פי אתר Sucuri, הפלאגין מותקן במעל 70,000 אתרי וורדפרס, כאשר הנוזקה שהתגלתה בפלאגין מאפשרת להאקרים להשתלט על […]
פרצת אבטחה בפלאגין Ultimate Member של וורדפרס 05/15/19
פלאגין Ultimate Member לאתרי וורדפרס הינו תוסף חברות באתר אשר מיועד עבור משתמשים חדשים המבקשים להירשם לאתר ולהיות חברים בו. התוסף מאפשר להוסיף פרופילים אטרקטיביים והוא טוב ליצירת קהילות מקוונות ואתרי חברות. Sucuri מדווחים כי גירסת 2.0.45 של פלאגין זה מהווה פרצת אבטחה חמורה המאפשרת קריאה ומחיקה של קובץ wp-config.php ובעקבות זאת להרס אתר הוורדפרס. […]
פרצת אבטחה בפלאגין תשלום בקופה ל – WooCommerce 05/5/19
פלאגין WooCommerce Checkout Manager לאתרי וורדפרס המפעילים את רכיב החנות המקוונת WooCommerce, מאפשר להתאים אישית ולנהל שדות בעמוד התשלום של החנות המקוונת. הפלאגין מאפשר לסדר מחדש, לשנות שמות, להסתיר שדות ולהוסיף שדות עבור תשלום, משלוח וסקציות נוספות של עמוד התשלום. אתר sucuri מדווח על מתקפת האקרים על הפלאגין, מתקפה אשר השפיעה על כ- 60,000 אתרי […]
פריצת אבטחה בפלאגין יצירת קשר 7DB של וורדפרס 04/14/19
אתר Sucuri מדווח על פרצת אבטחה חמורה בפלאגין וורדפרס Advanced Contact Form 7 DB. פרצת האבטחה שזוהתה מאפשרת הזרקת SQL, כאשר נכון לעכשיו הפלאגין מותקן במעל ל- 40,000 אתרי וורדפרס. פלאגין Advanced Contact Form 7 DB משמש להגשת תוכן לאתר וורדפרס על ידי שמירת המידע בבסיס הנתונים של האתר. משתמשים בעלי הרשאת מינימום של subscriber […]
מתקפות על פלאגינים סגורים של וורדפרס 04/14/19
צוות ניהול מאגר התוספים של וורדפרס יכול "לסגור" תוסף מסוים ולהגביל את ההורדה שלו במידה והוא מודע לבעיית אבטחה שמפתח התוסף אינו יכול לתקן או אינו יכול לתקן במהירות. עם זאת, האקרים מנטרים באופן פעיל את מאגר תוספי וורדפרס תוך שהם שמים לב במיוחד לפלאגינים סגורים על מנת ליצור התקפות על אותם פלאגינים ולנצל את […]
פרצת אבטחה בפלאגין Duplicate-Page של וורדפרס 04/7/19
אתר sucuri מדווח על פרצת אבטחה בפלאגין Duplicate-Page של וורדפרס – פלאגין המאפשר שכפול פוסטים ודפים באתר וורדפרס. פרצת האבטחה בפלאגין גורמת לסכנת הזרקת SQL. נכון להיום השפיעה פרצת אבטחה זו על למעלה מ- 800,000 אתרי וורדפרס ברחבי העולם. הסכנה בהזרקת SQL לאתר וורדפרס הינה באפשרות לגניבת מידע אודות משתמשי האתר (כולל פרטי גישה) ואף […]
פרצת אבטחה בפלאגין Social Warfare של וורדפרס 03/25/19
אתר Sucuri מדווח כי התגלתה פרצת אבטחה בתוסף וורדפרס בשם Social Warfare. פרצת אבטחה זו מאפשרת מתקפות XSS (פרצת אבטחה המאפשרת Scripting בין אתרים) ועד כה נראה כי הפרצה השפיעה על למעלה מ- 70,000 אתרי וורדפרס! חברת פיתוח הפלאגין פרסמה עדכון גירסה – מומלץ מאד למשתמשי וורדפרס העושים שימוש בפלאגין זה לעדכן מיידית את הפלאגין […]
תיקון פרצת אבטחה בפלאגין WP Fastest Cache 03/20/19
אתר Sucuri מדווח כי מפתחי תוסף WP-Fast-Cache לאתרי וורדפרס פרסמו עדכון גרסה לפאגין אשר התגלה כחשוף לפרצת אבטחה חמורה לצד התקנת פלאגין WP-PostRatings. פלאגין WP-Fast-Cache יוצר קבצי HTML סטטיים מתוך הבלוג הדינאמי של אתר וורדפרס, על מנת לאפשר למשתמשים לצפות בתוכני האתר דרך דף HTML סטטי במקום להמתין ליצירת התכנים מתוך בסיס הנתונים והצגתם באמצעות […]
וורדפרס – עדכון גירסה 5.1.1 03/13/19
וורדפרס בגירסה 5.1.1 זמין כעת להורדה עבור קהילת וורדפרס. גירסת וורדפרס זו כוללת תיקוני אבטחה ותחזוקה וכמו כן, כוללת 10 תיקונים ושיפורים למערכת וורדפרס ושינויים אשר נועדו לסייע לאחסון אתרי וורדפרס תחת גירסת PHP 5.2. גירסת וורדפרס 5.1.1 מכילה גם תיקוני אבטחה אשר נועדו לטיפול בסינון תגובות ובאופן שמירתם בבסיס הנתונים של אתר וורדפרס (תגובה […]
ספאם באתרי וורדפרס דרך מפתח רישיון ערכת עיצוב 01/30/19
אתר Sucuri מדווח על פרצת אבטחה באתרי וורדפרס דרך מפתח רישיון. מפתח רישיון הינו מקום שבו מנהל אתר וורדפרס אינו מצפה למצוא פרצת אבטחה אשר תגרום לספאם ותציף אותו, אולם במקרה זה – זהו המצב. בעלי אתרי וורדפרס התלוננו על מספר כתובות דואר ספאם אשר הוזרקו לאתר הוורדפרס שלהם. לאחר חקירת הנושא התברר כי מדובר בנוזקה […]
נוזקות ומתקפות על וורדפרס בשנת 2018 01/16/19
אתר High-Tech Bridge מדווח כי במהלך שנת 2018 הותקפו ונפרצו עשות מיליוני אתרים מבוססי מערכות ניהול תוכן, ביניהן גם אתרי וורדפרס. למעשה, ניכר כי כ-46% מהפריצות לאתרים מבוססי CMS היו לאתרי וורדפרס, על אף עדכוני הגירסה ותיקון פרצות אבטחה. נסקור להלן מספר נוזקות וורדפרס קריטיות בשנת 2018: BabaYaga – תוכנה זדונית ממוקדת שהתגלתה על ידי […]
וורדפרס – עדכון גירסה 5.0.3 01/10/19
אתר וורדפרס העולמי מדווח כי שוחררה לקהילת וורדפרס גירסה 5.0.3 אשר מהווה עדכון תחזוקה הכולל 37 תיקוני באגים ו- 7 עדכוני תפעול ונראות. מוקד עדכון תחזוקה זה הינו כיוונון עורך הבלוקים החדש ותיקון באגים משמעותיים: תוקנו 15 באגים בעורך הבלוקים ואלו שולבו לתוך תבניות עיצוב וורדפרס. תוקנו 2 באגים הקשורים לרב לשוניות בעורך הבלוקים. משתמשי […]
וורדפרס – עדכון גירסה 5.0.1 12/13/18
וורדפרס בגירסה 5.0.1 מהווה עדכון אבטחה משמעותי. מומלץ לכל בעלי אתרי וורדפרס לעדכן לגירסה העדכנית. להלן חלק מהבאגים ופרצות האבטחה אשר תוקנו בגירסה 5.0.1 של וורדפרס: כותבים (Authors) יכלו לשנות נתוני מטה כדי למחוק קבצים אשר לא הייתה להם הרשאה למחוק. לכותבים (Authors) הייתה אפשרות ליצור סוגי פוסטים להם לא הייתה הרשאה וכן, להכניס בפוסטים […]
פרצת אבטחה ברכיב GDPR באתרי וורדפרס 11/11/18
אתר Sucuri מדווח על מספר הולך וגדל של אתרי וורדפרס אשר כתובת ה- URL שלהם השתנתה עקב פריצה לאתר דרך פלאגין ההגנה על הפרטיות – GDPR, בו קיימת פרצת אבטחה. פלאגין GDPR לאתרי וורדפרס הפך להיות פופולרי מאד עקב תקנות האיחוד האירופי להגנה על פרטיות משתמשי הרשת ובאתרי וורדפרס רבים הפלאגין מותקן ופעיל: נכון להיום […]
פרצת אבטחה בפלאגין Duplicator של וורדפרס 09/15/18
אתר Sucuri מדווח על עלייה במספר המקרים בהם האקרים משתלטים על אתרי וורדפרס ומשביתים אותם על ידי הסרה או כתיבה מחדש של קובץ wp-config.php. מקרים אלו קשורים לפלאגין Duplicator של וורדפרס אשר נותן למשתמשי וורדפרס את היכולת להעביר, להעתיק, או לשכפל אתר וורדפרס ממיקום אחד למשנהו וגם משמש כלי גיבוי פשוט. גירסאות הפלאגין עד 1.2.30 חשופות להפעלת קודים זדוניים […]
שדרוג בסיס נתונים וורדפרס – הודעת דוא"ל מזוייפת 09/4/18
אתר Sucuri מודיע כי לאחרונה נשלחות לבעלי אתרי וורדפרס הודעות דוא"ל המודיעות לבעלי האתר כי מסד הנתונים שלהם דורש עדכון. המראה הכללי של הדוא"ל דומה לזה של הודעות עדכון וורדפרס לגיטימיות, אך תוכן ההודעה כולל שגיאות הקלדה וכן, סגנון ההודעה מתאים להודעות ישנות. חשוד עוד יותר הוא השימוש בחותמת זמן בתבנית אירופאית, בייחוד למשתמשי וורדפרס המתגוררים […]
מתקפת הפניות דרך תבניות עיצוב וורדפרס 08/29/18
אתר sucuri מדווח על כך שחודש אוגוסט 2018 התאפיין במתקפה מאסיבית של הפניות זדוניות לאתרים בלתי רצויים, דרך תבניות העיצוב של tagDiv והפלאגינים המסחריים שלהם לאתרי וורדפרס. גולשים באתרי וורדפרס הנגועים אשר נותבו מחדש בעקבות הפריצה לאתרים, הגיעו לדפים בעלי כתובות .com אקראיות שכללו תמונת reCAPTCHA מזויפת. ההודעות והתוכן מנסים לשכנע מבקרים לאמת ולהירשם להודעות דפדפן […]
וורדפרס – עדכון גירסה 4.9.7 07/8/18
גירסת וורדפרס 4.9.7 זמינה כעת להורדה ושימוש חברי קהילת וורדפרס. גירסה זו כוללת עדכוני אבטחה ותחזוקה – מומלץ לעדכן את כל אתרי וורדפרס לגירסה העדכנית 4.9.7. יש לציין כי גירסת וורדפרס 4.9.6 עלולה להיות מושפעת מבעיית מדיה אשר עלולה לאפשר למשתמש בעל הרשאות מסוימות לנסות למחוק קבצים הממוקמים מחוץ לספריית ההעלאות. סך הכל תוקנו 17 […]
וורדפרס – משיבים מלחמה למתקפות על אתרים 06/4/18
פלטפורמת וורדפרס נוכחת בקרוב ל- 30% מרשת האינטרנט, חייבת להיות מאובטחת ויציבה. עם זאת, אין וורדפרס יכולה להבטיח 100% אבטחה, כאשר ידוע כי התקפות על אתרי וורדפרס עלולות לשבש את נראות ותפעול האתר. מסיבה זו, חייבים בעלי אתרי וורדפרס לעשות ככל האפשר על מנת להבטיח כי האקרים לא יוכלו, או לפחות יתקשו מאד לפרוץ את […]
מאגר ידע
חדשות וורדפרס
אתר Sucuri מדווח על הימצאותם של שני פלאגינים זדוניים בשם injectbody ו-injectscr המהווים נוזקה באתרי וורדפרס. פלאגינים אלו מזריקים סקריפטים מעורפלים הגורמים ליצירת חלונות קופצים לא רצויים – פופ אפ. בכל פעם שמשתמש באתר מקליק על מקום כלשהו בדף נגוע, הוא מקבל מודעות פופ אפ מפוקפקות. הפלאגינים הזדוניים מזריקים סקריפט מתוך inject.txt ומסתירים את הנוכחות שלהם […]
פרצת אבטחה ברכיב YITH WooCommerce 01/18/18
אתר Sucuri מדווח על סכנה להזרקת SQL המשפיעה על רכיב ה- Wishlist של מערכת המסחר WooCommerce. תוסף וורדפרס YITH WooCommerce Wishlist מאפשר למבקרים ולקוחות פוטנציאליים לנהל רשימות משאלות המכילות מוצרים בחנות WooCommerce והוא מותקן על כ- 500,000 אתרי וורדפרס. שימוש בתוסף Wishlist בחנות וורדפרס מעודד את המשתמשים לחזור ומאפשרת מעקב אחר מוצרים בהם הם מעוניינים עד […]
הזרקת JS בוורדפרס – תרמית תמיכה 12/29/17
אתר Sucuri מדווח על הזרקת JavaScript למסדי נתונים של וורדפרס באמצעות קמפיין אשר מנסה לנתב מחדש מבקרים אל דף תמיכה מזויף של Windows בטענה שהמחשבים שלהם נגועים ברוגלות ויהיו מושבתים, אלא אם כן ייווצר קשר עם מוקד התמיכה המזויף. גוגל וספקי אבטחה אינטרנטיים נוספים הוסיפו את דף התמיכה המזוייף לרשימה השחורה ורוב המבקרים באתרי וורדפרס נגועים יקבלו דף […]
פרצת אבטחה בפלאגינים של וורדפרס 11/25/17
אתר Sucuri מבצע בדיקות מקיפות אודות פרצות אבטחה במערכת ניהול תוכן מקוונות ולאחרונה דיווח על פרצת אבטחה באתרי וורדפרס אשר עושים שימוש בשני פלאגינים: Formidable Forms ו- Shortcodes Ultimate. פלאגין Shortcodes Ultimate הוא אוסף מקיף של אלמנטים ויזואליים ותפקודיים שונים, שבו ניתן להשתמש בעורך הודעות, יישומי טקסט ואפילו בקבצי תבנית העיצוב. באמצעות Shortcodes Ultimate אפשר בקלות ליצור כרטיסיות, […]
דגשים לאבטחת אתרי וורדפרס 11/5/17
נתונים סטטיסטיים מלמדים כי קרוב ל-30% מאתרי האינטרנט ברשת מנוהלים באמצעות מערכת וורדפרס. לפופולריות זו יש מחיר והוא בא לידי ביטוי לעיתים קרובות בהתמקדות של האקרים באתרי וורדפרס במטרה למנף אתרי וורדפרס לתועלתם. יש לציין כבר עתה, כי מטרת אבטחת אתרי וורדפרס הינה להפחית סיכונים אלו ולא במטרה לחסלם. הסיכון קיים תמיד ואבטחת אתרי וורדפרס […]
זיהוי סימני פריצה לאתר וורדפרס 10/10/17
פריצה לאתר וורדפרס היא אולי אירוע שחושבים שיכול לקרות לאחרים, אך זה יכול לקרות לכל אתר. הסימנים לפריצה לאתר וורדפרס לא תמיד גלויים וחשוב להכיר את הסימנים לכך שאתר הוורדפרס נפרץ, על מנת למנוע הצגת תוכן זדוני בפני המבקרים באתר. משמעות הפריצה לאתר וורדפרס המשמעות הטכנית של פריצה לאתר וורדפרס הינה כאשר גורם חיצוני משיג […]
פלאגין מזויף לאתרי וורדפרס 10/2/17
משתמשי וורדפרס נעשים מודעים יותר ויותר לאיומי אבטחה וכתוצאה מכך הם נוקטים פעולות רבות יותר לאבטחת אתרי האינטרנט שלהם, למשל על ידי התקנת יישומי פלאגין לאבטחה. אמנם זה דבר טוב, תמיד יימצאו האקרים אשר ינסו לנצל הזדמנויות חדשות כדי להשתלט על אתרי וורדפרס. אתר Sucuri מזהה מספר הולך וגדל של תוספי אבטחה מזויפים, כאשר בפועל […]
פרצת אבטחה בוורדפרס 4.8.1 09/27/17
על פי דיווח של אתר Sucuri, התגלתה פרצת אבטחה stored Cross-Site Scripting – XSS באתרי וורדפרס בגירסה 4.8.1. מבדיקה עולה כי על מנת שפרצת האבטחה תשמש גורם צד שלישי לפגיעה באתר וורדפרס, צריך לפעול באתר חשבון בעל הרשאות Contributor או כל חשבון וורדפרס עם תוסף bbPress, כל עוד יש לו יכולות פרסום באתר (פרסום פוסטים אנונימיים אינו מחייב […]
הזרקת SQL דרך פלאגין WP Statistics 07/2/17
סכנה חמורה להזרקת SQL דרך פלאגין WP Statistics של וורדפרס! המלצה לעדכן מיידית את הפאלגין בכל אתרי וורדפרס. פלאגין WP Statistics נועד לתת לבעלי אתר וורדפרס את האפשרות לצפות בסטטיסטיקות גולשים באתר. הפלאגין עוקב אחר תנועת הגולשים באתר ללא תלות בגורם חיצוני כמו Google Analytics ומספק לבעלי אתר וורדפרס מידע אודות: מבקרים אונליין, חיפושים במנועי חיפוש, כניסת […]
פלאגינים מסוכנים באתרי וורדפרס 06/30/17
אחד מסיכוני האבטחה אשר פחות שמים לב אליהם באתרי וורדפרס, הוא סיכון הנובע מאחד או מספר פלאגינים המותקנים ופועלים באתר. פלאגין וורדפרס המהווה סיכון אבטחה באתר, לרוב מגיע מאתר מפוקפק המספק פלאגינים לוורדפרס, או כתוצאה מהיעדר עדכון פלאגינים אשר הופכים למיושנים ואף הוסרו מרשימת הפלאגינים הרשמיים לוורדפרס עקב בעיות שהתגלו בהם. אחת הדוגמאות לפלאגין וורדפרס […]
חשש להפניות אוטומטיות דרך קבצי JS נגועים 04/6/17
אתר Sucuri עוקב מזה זמן מה אחר חשש לאפשרות חדירה לאתר וורדפרס דרך קבצי JavaScript נגועים. מבדיקתם עולה כי האקרים מזריקים קוד JavaScript זדוני כמעט לכל קובץ js שהם מוצאים. גירסאות קודמות של רוגלה זו פגעו רק בקבצי jquery.js אך כעת מסוגלת הרוגלה לפגוע גם בקבצים כגון js.php ו- .json. צוות הבדיקה עקב אחרי ההתקפות באמצעות access logs אשר הראו את תהליך […]
וורדפרס – עדכון אבטחה 4.7.2 02/9/17
מאתר וורדפרס העולמי wordpress.org/news נמסר כי גירסה 4.7.2 שוחררה והיא כעת זמינה להורדה. באתר ממליצים להתקין את עדכון האבטחה באופן מיידי מכיוון שגירסת וורדפרס 4.7.1 וקודמותיה עלולות לסבול מפרצות אבטחה כגון: הצגת הגדרות למשתמשים שאינם מורשים לראות אותן, סכנת הזרקת SQL ל- WP_Query, סכנת הזרקת סקריפטים לדפי קטגוריות פוסטים (XSS) וכן, סכנת אסקלציית הרשאות ב- REST API […]