Luka w popularnej wtyczce. Miliony witryn zagrożone cyberatakami

WordPress jest napisanym w języku PHP systemem zarządzania treścią, który projektowano do obsługi blogów. Rozpowszechniany jest na licencji GNU, więc korzystać z niego można bezpłatnie, choć ma płatną wersję Pro. WordPress jest niezwykle popularny i według danych firmy analitycznej W3Techs, na tym systemie we wrześniu 2022 roku bazowało aż 43 proc. stron internetowych na świecie.

Problem, o którym mowa został oznaczony identyfikatorem CVE-2023-30777 i dotyczy skryptu, który może zostać wykorzystany do umieszczenia dowolnych wykonywalnych skryptów w niezabezpieczonych stronach internetowych. Wadliwa wtyczka jest dostępna zarówno w bezpłatnej wersji systemu, jak i w wersji Pro, a zainstalowano ją już ponad 2 miliony razy. Problem zgłoszono Wordpressowi 2 maja 2023 roku.

Ataki mają miejsce, gdy ofiary są nakłaniane do kliknięcia fałszywego łącza wysłanego e-mailem albo poprzez inny komunikator, co powoduje wysłanie złośliwego kodu do podatnej na ataki witryny internetowej. Konieczność zastosowania socjotechniki, by ofiara kliknęła w link sprawia, że problem nie ma takiego zasięgu i skali, dlatego cyberprzestępcy rozsyłają szkodliwy odsyłacz do jak największej liczby użytkowników.

Zaktualizowanie wtyczki do wersji 6.1.6 powinno sprawić, że wykorzystywanie luki przestanie być możliwe, jednak nadal należy uważać na linki przesyłane przez podejrzane adresy mailowe. Nowe luki w oprogramowaniu tego typu są znajdowane regularnie, jednak nie każda z nich jest tak wysoce szkodliwa. Niemniej hakerzy bywają niezwykle kreatywni w wykorzystywaniu tych luk.