וורדפרס - פרצת אבטחה חדשה בפלאגינים

אתר Sucuri מדווח על פרצת אבטחה חדשה במספר פלאגינים של וורדפרס, אשר בעטייה יכולים האקרים להוסיף את מילת המפתח "1800ForBail" לכותרת (Title) של אתרי וורדפרס פגיעים. נכון לרגע זה מציג גוגל בתוצאות החיפוש שלו 158,000 תוצאות עבור חיפוש מילת המפתח שהוזרקה לאתרי וורדפרס.

פרצת אבטחה זו נוצרה לאחר שהאקרים הצליחו לגשת דרך פלאגינים פגיעים של וורדפרס להגדרות ושינו את הגדרת ברירת המחדל של blogname ליצירת כותרות לעמודי אתר וורדפרס. מתקפה חדשה זו על אתרי וורדפרס דומה מאד ל- siteurl attacks אשר החלו לפני כשנה והיא מכוונת לכל רשימת התוספים הפגיעים של וורדפרס (נכון לחודש מאי 2019):

WP Live Chat Support
Ultimate FAQ
Freemius Library (Multiple plugins are affected)
WooCommerce Extra Fields
SupportCandy
Yellow Pencil Visual Theme Customizer
Social Warfare
WordPress GDPR Compliance
Newspaper and other old tagDiv Themes
Easy WP SMTP
WP Total Donations
Yuzo Related Post

מתקפת blogname אינה פוגעת בנראות אתרי וורדפרס, אך פוגעת ללא ספק באמינות האתר בתוצאות החיפוש של גוגל. קשה לגלות את פרצת האבטחה הזו עקב העובדה שהיא אינה פוגעת בנראות האתר ולכן מומלץ עבור בעלי אתרי וורדפרס לשנות את הגדרות Blog title בפאנל ניהול האתר (או את אופציית blogname בטבלת wp_options). כמו כן, מומלץ לוודא כי כל התוספים באתר מעודכנים לגירסאות האחרונות.