Podsumowanie luk w zabezpieczeniach WordPress: wrzesień 2019, część 2

7. BRAKUJE SEO

DELUCKS SEO w wersji 2.1.7 i niższej zawiera lukę w zabezpieczeniach nieuwierzytelnionej aktualizacji opcji.

Co powinieneś zrobić

8. Bogate recenzje

Bogate recenzje w wersji 1.7.4 i starszej zawierają lukę dotyczącą aktualizacji nieuwierzytelnionych opcji wtyczek.

Co powinieneś zrobić

Motywy WordPress

9. Selio – Katalog nieruchomości

Selio – Katalog nieruchomości w wersji 1.1 i niższych zawiera lukę SQL Injection i Persistent Cross-Site Scripting.

Co powinieneś zrobić

10. Nexos – Nieruchomości

Nexos – Real Estate w wersji 1.1 i starszej ma lukę SQL Injection i Persistent Cross-Site Scripting.

Co powinieneś zrobić

Jak być proaktywnym w kwestii luk w motywach i wtyczkach WordPress

Uruchamianie przestarzałego oprogramowania jest głównym powodem ataków na witryny WordPress. Dla bezpieczeństwa Twojej witryny WordPress ma kluczowe znaczenie, jeśli masz rutynę aktualizacji. Powinieneś logować się do swoich witryn co najmniej raz w tygodniu, aby przeprowadzić aktualizacje.

Automatyczne aktualizacje mogą pomóc

Automatyczne aktualizacje to doskonały wybór dla witryn WordPress, które nie zmieniają się zbyt często. Brak uwagi często powoduje, że te strony są zaniedbane i podatne na ataki. Nawet przy zalecanych ustawieniach zabezpieczeń uruchomienie w witrynie podatnego na ataki oprogramowania może dać atakującemu punkt wejścia do witryny.

Korzystając z funkcji zarządzania wersjami wtyczki iThemes Security Pro, możesz włączyć automatyczne aktualizacje WordPress, aby mieć pewność, że otrzymujesz najnowsze poprawki zabezpieczeń. Te ustawienia pomagają chronić witrynę dzięki opcjom automatycznej aktualizacji do nowych wersji lub zwiększania bezpieczeństwa użytkowników, gdy oprogramowanie witryny jest nieaktualne.

Opcje aktualizacji zarządzania wersjami

• Aktualizacje WordPress – Automatycznie zainstaluj najnowszą wersję WordPress.
• Automatyczne aktualizacje wtyczek — Automatycznie instaluj najnowsze aktualizacje wtyczek. Powinno to być włączone, chyba że codziennie aktywnie utrzymujesz tę witrynę i instalujesz aktualizacje ręcznie wkrótce po ich wydaniu.
• Automatyczne aktualizacje motywu — automatycznie instaluj najnowsze aktualizacje motywu. Powinno to być włączone, chyba że Twój motyw ma dostosowania plików.
• Szczegółowa kontrola nad aktualizacjami wtyczek i motywów — możesz mieć wtyczki/motywy, które chcesz zaktualizować ręcznie lub opóźnić aktualizację do czasu, gdy wersja będzie stabilna. Możesz wybrać opcję Niestandardowa, aby umożliwić przypisanie każdej wtyczce lub motywowi aktualizacji natychmiastowej ( Włącz ), nie aktualizującej się wcale ( Wyłącz ) lub aktualizacji z opóźnieniem o określoną liczbę dni ( Opóźnienie ).

Wzmacnianie i ostrzeganie o krytycznych problemach

• Wzmocnij witrynę, gdy działa przestarzałe oprogramowanie — Automatycznie dodaj dodatkowe zabezpieczenia do witryny, gdy dostępna aktualizacja nie została zainstalowana przez miesiąc. Wtyczka iThemes Security automatycznie włączy bardziej rygorystyczne zabezpieczenia, gdy aktualizacja nie zostanie zainstalowana przez miesiąc. Po pierwsze, zmusi wszystkich użytkowników, którzy nie mają włączonej funkcji dwuskładnikowej, do podania kodu logowania wysłanego na ich adres e-mail przed ponownym zalogowaniem. Po drugie, wyłączy Edytor plików WP (aby zablokować osobom możliwość edycji kodu wtyczki lub motywu) , pingbacki XML-RPC i blokowanie wielokrotnych prób uwierzytelnienia na żądanie XML-RPC (obie te działania wzmocnią XML-RPC przed atakami bez konieczności całkowitego wyłączania).
• Skanuj w poszukiwaniu innych starych witryn WordPress — sprawdzi to, czy na Twoim koncie hostingowym nie ma innych nieaktualnych instalacji WordPress. Pojedyncza nieaktualna witryna WordPress z luką może umożliwić atakującym złamanie zabezpieczeń wszystkich innych witryn na tym samym koncie hostingowym.
• Wysyłaj powiadomienia e-mail — w przypadku problemów wymagających interwencji wysyłana jest wiadomość e-mail do użytkowników na poziomie administratora.

Wykroczenia z całej sieci

1. Kreska drzwi

DoorDash ujawnił w poście na blogu, że 4,9 miliona klientów, sprzedawców i danych pracowników zostało skompromitowanych podczas naruszenia, które miało miejsce 4 maja 2019 r.

Naruszenie obejmowało nazwiska, adresy e-mail, adresy fizyczne, numery telefonów i zaszyfrowane hasła. Na szczęście nie przechowywali haseł w postaci zwykłego tekstu, więc hakerowi będzie bardzo trudno odszyfrować i użyć haseł.

Ostatnie 4 cyfry niektórych kart kredytowych zostały naruszone, ale nie uzyskano dostępu do pełnych numerów kart kredytowych ani numerów CVV.

Niestety niektóre z numerów prawa jazdy pracowników zostały uwzględnione w naruszeniu.

Jeśli jesteś klientem DoorDash, możesz skontaktować się z nimi w dedykowanym centrum obsługi telefonicznej, aby uzyskać pomoc pod numerem 855–646–4683

2. Ostatnie przejście

Chrome Project Zero wykrył i ujawnił lukę w rozszerzeniu LastPass dla Chrome i Opery. Luka umożliwiłaby złośliwej witrynie wygenerowanie wyskakującego okienka i ominięcie funkcji do_popupregister() w celu uzyskania danych uwierzytelniających ostatniego zalogowanego konta przy użyciu LastPass.

Nie ma dowodów na to, że ta luka została kiedykolwiek wykorzystana na wolności, a LastPass wydał łatkę dla wersji Chrome i Opera swojego rozszerzenia.

Luka ta podkreśla znaczenie korzystania z uwierzytelniania dwuskładnikowego i sprawia, że ​​coraz bardziej ekscytuję się przyszłością bez haseł.

Wtyczka bezpieczeństwa WordPress może pomóc w zabezpieczeniu Twojej witryny

iThemes Security Pro, nasza wtyczka bezpieczeństwa WordPress, oferuje ponad 30 sposobów zabezpieczenia i ochrony Twojej witryny przed typowymi lukami w zabezpieczeniach WordPress. Dzięki dwuskładnikowemu uwierzytelnianiu WordPress, ochronie przed brute force, silnemu egzekwowaniu haseł i nie tylko, możesz dodać dodatkową warstwę bezpieczeństwa do swojej witryny.

Uzyskaj zabezpieczenia iThemes