WordPress 漏洞综述：2019 年 10 月，第 1 部分

WordPress 主题

如何积极应对 WordPress 主题和插件漏洞

运行过时的软件是 WordPress 网站被黑的第一大原因。 拥有更新程序对于 WordPress 网站的安全性至关重要。 您应该每周至少登录一次您的站点以执行更新。

自动更新可以提供帮助

对于不经常更改的 WordPress 网站，自动更新是一个不错的选择。 缺乏关注往往会使这些网站被忽视并容易受到攻击。 即使采用推荐的安全设置，在您的站点上运行易受攻击的软件也会为攻击者提供进入您站点的入口点。

使用 iThemes Security Pro 插件的版本管理功能，您可以启用自动 WordPress 更新以确保您获得最新的安全补丁。 这些设置可以通过选项自动更新到新版本或在站点软件过时时提高用户安全性，从而帮助保护您的站点。

版本管理更新选项

• WordPress 更新– 自动安装最新的 WordPress 版本。
• 插件自动更新- 自动安装最新的插件更新。 除非您每天积极维护此站点并在更新发布后不久手动安装更新，否则应启用此功能。
• 主题自动更新- 自动安装最新的主题更新。 除非您的主题具有文件自定义，否则应启用此功能。
• 对插件和主题更新的精细控制——您可能有想要手动更新的插件/主题，或者延迟更新直到版本有时间证明稳定。 您可以选择自定义，以便将每个插件或主题分配为立即更新 ( Enable )、根本不自动更新 ( Disable ) 或延迟指定天数 ( Delay ) 进行更新。

加强和提醒关键问题

• 运行过时软件时加强站点 - 当一个月未安装可用更新时，自动为站点添加额外保护。 当一个月未安装更新时，iThemes Security 插件将自动启用更严格的安全性。 首先，它将强制所有未启用双因素的用户在重新登录之前提供发送到其电子邮件地址的登录代码。其次，它将禁用 WP 文件编辑器（以阻止人们编辑插件或主题代码） 、XML-RPC pingbacks 并阻止每个 XML-RPC 请求的多次身份验证尝试（这两者都将使 XML-RPC 更强大地抵御攻击，而不必完全关闭它）。
• 扫描其他旧的 WordPress 站点- 这将检查您的主机帐户上是否有其他过时的 WordPress 安装。 一个存在漏洞的过时 WordPress 站点可能允许攻击者破坏同一托管帐户上的所有其他站点。
• 发送电子邮件通知– 对于需要干预的问题，会向管理员级别用户发送电子邮件。

来自网络的漏洞

1. 黑客使用 Gif 攻击 Drupal

Akami 是一家安全研究公司，注意到在 .gif 文件中嵌入恶意代码的攻击有所增加。 好消息是 Drupal 在一年前修补了这个漏洞。 坏消息是维护不善的网站仍未更新。

恶意攻击成功的第一个原因是过时的软件。 不要成为网站因一年前的更新而受到损害的人/女孩。 更新您的网站

2.信号漏洞让黑客可以监听安卓麦克风

Google Project Zero 最近披露了消息应用 Signal 中的一个漏洞。 当使用 Signal 应用程序拨打某人的电话时，可以使用该漏洞。 在通话过程中，黑客需要在目标手机响铃时按下静音按钮。 按下静音按钮将强制目标的设备接听电话，允许攻击者窃听他们的标记。

在被 Google Project Zero 通知该错误后，Signal 迅速发布了补丁。 该漏洞利用要求攻击者删除并修改应用程序中的代码。 值得庆幸的是，由于困难，没有关于该漏洞被广泛使用的报告。