Обзор уязвимостей WordPress: октябрь 2019 г., часть 1

WordPress темы

Как быть активным в отношении уязвимостей тем и плагинов WordPress

Использование устаревшего программного обеспечения - это причина номер один взлома сайтов WordPress. Для безопасности вашего сайта WordPress крайне важно, чтобы у вас была процедура обновления. Вы должны входить на свои сайты не реже одного раза в неделю, чтобы выполнять обновления.

Автоматические обновления могут помочь

Автоматические обновления - отличный выбор для веб-сайтов WordPress, которые не меняются очень часто. Из-за недостатка внимания эти сайты часто остаются без внимания и уязвимы для атак. Даже при рекомендуемых настройках безопасности запуск уязвимого программного обеспечения на вашем сайте может дать злоумышленнику точку входа на ваш сайт.

Использование Pro плагин функции управления версиями iThemes Security, вы можете включить автоматическое обновление WordPress , чтобы убедиться , что вы получаете последние обновления безопасности. Эти настройки помогают защитить ваш сайт с помощью опций для автоматического обновления до новых версий или повышения безопасности пользователей, когда программное обеспечение сайта устарело.

Параметры обновления управления версиями

• Обновления WordPress - автоматическая установка последней версии WordPress.
• Автоматические обновления плагинов - автоматическая установка последних обновлений плагинов. Это должно быть включено, если вы активно не поддерживаете этот сайт на ежедневной основе и не устанавливаете обновления вручную вскоре после их выпуска.
• Автоматические обновления тем - автоматическая установка последних обновлений тем. Это должно быть включено, если ваша тема не имеет настроек файла.
• Детальный контроль над обновлениями плагинов и тем - у вас могут быть плагины / темы, которые вы хотите обновить вручную или отложить обновление до тех пор, пока выпуск не станет стабильным. Вы можете выбрать « Пользовательский» для возможности назначить каждому плагину или теме немедленное обновление ( Включить ), не обновлять автоматически ( Отключить ) или обновлять с задержкой в ​​указанное количество дней ( Задержка ).

Усиление и предупреждение о критических проблемах

• Усиление сайта при использовании устаревшего программного обеспечения - автоматическое добавление дополнительных средств защиты для сайта, если доступное обновление не было установлено в течение месяца. Плагин iThemes Security автоматически включит более строгую безопасность, если обновление не было установлено в течение месяца. Во-первых, он заставит всех пользователей, у которых не включен двухфакторный режим, предоставить код входа, отправленный на их адрес электронной почты, перед повторным входом в систему. Во-вторых, он отключит редактор файлов WP (чтобы заблокировать людей от редактирования кода плагина или темы) , Пингбэки XML-RPC и блокировка нескольких попыток аутентификации для каждого запроса XML-RPC (оба из которых сделают XML-RPC более устойчивым к атакам, не отключая его полностью).
• Сканировать другие старые сайты WordPress - это проверит наличие других устаревших установок WordPress в вашей учетной записи хостинга. Один устаревший сайт WordPress с уязвимостью может позволить злоумышленникам взломать все другие сайты в той же учетной записи хостинга.
• Отправлять уведомления по электронной почте - для проблем, требующих вмешательства, электронное письмо отправляется пользователям с правами администратора.

Нарушения со всего Интернета

1. Хакеры, использующие гифки для атак на Drupal

Компания Akami, занимающаяся исследованиями в области безопасности, заметила рост числа атак, встраивающих вредоносные коды в файлы .gif. Хорошая новость заключается в том, что Drupal исправил эту уязвимость более года назад. Плохая новость в том, что плохо обслуживаемые сайты до сих пор не обновлялись.

Причина номер один успешности злонамеренных атак - устаревшее программное обеспечение. Не будьте тем парнем / девушкой, чей сайт скомпрометирован обновлением годичной давности. Обновите свой сайт

2. Уязвимость сигнала позволяет хакерам прослушивать микрофоны Android.

Google Project Zero недавно обнаружил уязвимость в приложении для обмена сообщениями Signal. Уязвимость может быть использована при звонке на чей-то телефон с помощью приложения Signal. Во время телефонного звонка хакеру нужно будет нажать кнопку отключения звука, пока телефон жертвы звонит. Нажатие кнопки отключения звука заставит целевое устройство ответить на вызов, позволяя злоумышленнику подслушать их метку.

Получив уведомление об ошибке от Google Project Zero, Signal быстро выпустил патч. Эксплойт требовал, чтобы злоумышленник удалил и изменил код в приложении. К счастью, из-за сложности сообщений об использовании эксплойта в дикой природе нет.