Resumo de vulnerabilidades do WordPress: outubro de 2019, parte 1

Temas WordPress

Como ser proativo em relação às vulnerabilidades de plug-ins e temas do WordPress

Executar software desatualizado é o principal motivo pelo qual os sites do WordPress são hackeados. É crucial para a segurança do seu site WordPress que você tenha uma rotina de atualização. Você deve entrar em seus sites pelo menos uma vez por semana para realizar atualizações.

Atualizações automáticas podem ajudar

As atualizações automáticas são uma ótima opção para sites WordPress que não mudam com muita frequência. A falta de atenção geralmente deixa esses sites negligenciados e vulneráveis ​​a ataques. Mesmo com as configurações de segurança recomendadas, a execução de software vulnerável em seu site pode fornecer a um invasor um ponto de entrada em seu site.

Usando o recurso de gerenciamento de versão do plugin iThemes Security Pro, você pode habilitar atualizações automáticas do WordPress para garantir que está obtendo os patches de segurança mais recentes. Essas configurações ajudam a proteger seu site com opções para atualizar automaticamente para novas versões ou aumentar a segurança do usuário quando o software do site está desatualizado.

Opções de atualização de gerenciamento de versão

• Atualizações do WordPress - instale automaticamente a versão mais recente do WordPress.
• Atualizações automáticas de plug-ins - instala automaticamente as atualizações de plug-ins mais recentes. Isso deve ser habilitado, a menos que você mantenha ativamente este site diariamente e instale as atualizações manualmente logo após serem lançadas.
• Atualizações automáticas de tema - instala automaticamente as atualizações de tema mais recentes. Isso deve ser habilitado, a menos que seu tema tenha personalizações de arquivo.
• Controle granular sobre atualizações de plug-ins e temas - você pode ter plug-ins / temas que gostaria de atualizar manualmente ou atrasar a atualização até que o lançamento tenha tempo de se provar estável. Você pode escolher Personalizado para a oportunidade de atribuir cada plugin ou tema para atualizar imediatamente ( Ativar ), não atualizar automaticamente ( Desativar ) ou atualizar com um atraso de um determinado período de dias ( Atraso ).

Fortalecimento e alerta para questões críticas

• Fortaleça o site ao executar software desatualizado - adicione automaticamente proteções extras ao site quando uma atualização disponível não tiver sido instalada por um mês. O plugin de segurança do iThemes ativará automaticamente uma segurança mais rígida quando uma atualização não for instalada por um mês. Primeiro, ele forçará todos os usuários que não têm dois fatores habilitados a fornecer um código de login enviado para seu endereço de e-mail antes de fazer o login novamente. Em segundo lugar, ele desabilitará o Editor de Arquivos WP (para impedir que as pessoas editem o plugin ou o código do tema) , Pingbacks XML-RPC e bloquear várias tentativas de autenticação por solicitação XML-RPC (ambos tornarão o XML-RPC mais forte contra ataques sem ter que desligá-lo completamente).
• Scan for Other Old WordPress Sites - Isto irá verificar se há outras instalações WordPress desatualizadas em sua conta de hospedagem. Um único site WordPress desatualizado com uma vulnerabilidade pode permitir que invasores comprometam todos os outros sites na mesma conta de hospedagem.
• Enviar notificações por email - para problemas que requerem intervenção, um email é enviado aos usuários de nível de administrador.

Violações da Web

1. Hackers usando Gifs para atacar o Drupal

Akami - uma empresa de pesquisa de segurança - notou um aumento nos ataques que incorporam códigos maliciosos em arquivos .gif. A boa notícia é que o Drupal corrigiu essa vulnerabilidade há mais de um ano. A má notícia é que os sites mal mantidos ainda não foram atualizados.

O principal motivo para os ataques mal-intencionados serem bem-sucedidos é o software desatualizado. Não seja o cara / garota cujo site foi comprometido por uma atualização de um ano atrás. Atualize seu site

2. Vulnerabilidade de sinal permite que hackers ouçam microfones Android

O Google Project Zero divulgou recentemente uma vulnerabilidade no aplicativo de mensagens Signal. A vulnerabilidade pode ser usada ao ligar para o telefone de alguém usando o aplicativo Signal. Durante a ligação, o hacker precisará pressionar o botão mudo enquanto o telefone do alvo está tocando. Pressionar o botão mudo forçará o dispositivo do alvo a atender a chamada, permitindo que o invasor escute sua marca.

Depois de ser notificado sobre o bug pelo Google Project Zero, a Signal rapidamente lançou um patch. A exploração exigia que o invasor removesse e modificasse o código do aplicativo. Felizmente, devido à dificuldade, não há relatos do exploit sendo usado na natureza.