Roundup Kerentanan WordPress: Oktober 2019, Bagian 1

Tema WordPress

Bagaimana Menjadi Proaktif Tentang Kerentanan Tema & Plugin WordPress

Menjalankan perangkat lunak usang adalah alasan nomor satu situs WordPress diretas. Sangat penting untuk keamanan situs WordPress Anda bahwa Anda memiliki rutinitas pembaruan. Anda harus masuk ke situs Anda setidaknya sekali seminggu untuk melakukan pembaruan.

Pembaruan Otomatis Dapat Membantu

Pembaruan otomatis adalah pilihan tepat untuk situs web WordPress yang tidak terlalu sering berubah. Kurangnya perhatian sering membuat situs-situs ini terabaikan dan rentan terhadap serangan. Bahkan dengan pengaturan keamanan yang disarankan, menjalankan perangkat lunak yang rentan di situs Anda dapat memberi penyerang titik masuk ke situs Anda.

Menggunakan fitur Manajemen Versi plugin iThemes Security Pro , Anda dapat mengaktifkan pembaruan WordPress otomatis untuk memastikan Anda mendapatkan patch keamanan terbaru. Pengaturan ini membantu melindungi situs Anda dengan opsi untuk secara otomatis memperbarui ke versi baru atau untuk meningkatkan keamanan pengguna saat perangkat lunak situs sudah usang.

Opsi Pembaruan Manajemen Versi

• Pembaruan WordPress – Secara otomatis menginstal rilis WordPress terbaru.
• Pembaruan Otomatis Plugin – Secara otomatis menginstal pembaruan plugin terbaru. Ini harus diaktifkan kecuali Anda secara aktif memelihara situs ini setiap hari dan menginstal pembaruan secara manual segera setelah dirilis.
• Pembaruan Otomatis Tema – Secara otomatis menginstal pembaruan tema terbaru. Ini harus diaktifkan kecuali jika tema Anda memiliki penyesuaian file.
• Kontrol Granular atas Pembaruan Plugin dan Tema – Anda mungkin memiliki plugin/tema yang ingin Anda perbarui secara manual, atau tunda pembaruan hingga rilis memiliki waktu untuk terbukti stabil. Anda dapat memilih Kustom untuk kesempatan menetapkan setiap plugin atau tema untuk segera diperbarui ( Aktifkan ), tidak memperbarui secara otomatis sama sekali ( Nonaktifkan ) atau memperbarui dengan penundaan dalam jumlah hari tertentu ( Tunda ).

Penguatan dan Peringatan untuk Masalah Kritis

• Perkuat Situs Saat Menjalankan Perangkat Lunak Kedaluwarsa – Secara otomatis menambahkan perlindungan ekstra ke situs ketika pembaruan yang tersedia belum diinstal selama sebulan. Plugin Keamanan iThemes akan secara otomatis mengaktifkan keamanan yang lebih ketat ketika pembaruan belum diinstal selama sebulan. Pertama, itu akan memaksa semua pengguna yang tidak mengaktifkan dua faktor untuk memberikan kode login yang dikirim ke alamat email mereka sebelum masuk kembali. Kedua, itu akan menonaktifkan WP File Editor (untuk memblokir orang dari mengedit plugin atau kode tema) , pingback XML-RPC, dan memblokir beberapa upaya autentikasi per permintaan XML-RPC (keduanya akan membuat XML-RPC lebih kuat terhadap serangan tanpa harus mematikannya sepenuhnya).
• Pindai Situs WordPress Lama Lainnya – Ini akan memeriksa instalasi WordPress usang lainnya di akun hosting Anda. Satu situs WordPress usang dengan kerentanan dapat memungkinkan penyerang untuk berkompromi dengan semua situs lain di akun hosting yang sama.
• Kirim Pemberitahuan Email – Untuk masalah yang memerlukan intervensi, email dikirim ke pengguna tingkat admin.

Pelanggaran Dari Seluruh Web

1. Peretas Menggunakan Gif untuk Menyerang Drupal

Akami – sebuah perusahaan riset keamanan – telah melihat peningkatan serangan yang menyematkan kode berbahaya di dalam file .gif. Berita baiknya adalah Drupal menambal kerentanan ini lebih dari setahun yang lalu. Berita buruknya adalah situs yang tidak terawat dengan baik masih belum diperbarui.

Alasan nomor satu serangan berbahaya berhasil adalah karena perangkat lunak yang sudah ketinggalan zaman. Jangan menjadi pria/wanita yang situsnya disusupi oleh pembaruan berusia satu tahun. Perbarui situs Anda

2. Kerentanan Sinyal Memungkinkan Peretas Mendengarkan Mikrofon Android

Google Project Zero baru-baru ini mengungkapkan kerentanan di aplikasi perpesanan Signal. Kerentanan dapat digunakan saat menelepon ponsel seseorang menggunakan aplikasi Signal. Selama panggilan telepon, peretas perlu menekan tombol mute saat telepon target berdering. Menekan tombol mute akan memaksa perangkat target untuk menjawab panggilan, memungkinkan penyerang untuk menguping sasaran mereka.

Setelah diberi tahu tentang bug oleh Google Project Zero, Signal dengan cepat merilis tambalan. Eksploitasi mengharuskan penyerang untuk menghapus dan memodifikasi kode di aplikasi. Untungnya, karena kesulitannya, tidak ada laporan tentang eksploitasi yang digunakan di alam liar.