黑客正積極利用一個(gè)關(guān)鍵的遠(yuǎn)程代碼執(zhí)行漏洞，允許未經(jīng)驗(yàn)證的攻擊者在運(yùn)行易受攻擊的File Manager插件版本的WordPress站點(diǎn)上載腳本并執(zhí)行任意代碼。

9月1日上午，塞拉沃的待命安全官員Ville Korhonen第一個(gè)發(fā)現(xiàn)了這個(gè)漏洞，并且發(fā)現(xiàn)了一個(gè)事實(shí)，即威脅參與者已經(jīng)在試圖利用它進(jìn)行攻擊，將惡意PHP文件上傳到易受攻擊的網(wǎng)站上。

在Korhonen發(fā)現(xiàn)攻擊并向插件開(kāi)發(fā)人員報(bào)告漏洞后的幾個(gè)小時(shí)內(nèi)，F(xiàn)ile Manager的開(kāi)發(fā)人員在6.9版本的發(fā)布中修補(bǔ)了這個(gè)嚴(yán)重的缺陷。

文件管理器插件目前安裝在超過(guò)700000個(gè)WordPress站點(diǎn)上，該漏洞影響6.0到6.8之間的所有版本。

[[340565]]

已經(jīng)探測(cè)到45萬(wàn)個(gè)地點(diǎn)

Wordfence的研究人員也在9月1日早上從Arsys的Gonzalo Cruz那里得知了這一持續(xù)的攻擊，他為他們提供了一個(gè)有效的概念證明，讓他們能夠研究如何阻止攻擊。

WordPress安全公司后來(lái)表示，Wordfence Web應(yīng)用防火墻在過(guò)去幾天內(nèi)能夠阻止超過(guò)45萬(wàn)次的攻擊嘗試。

Wordfence說(shuō)，黑客試圖將圖片中隱藏的網(wǎng)頁(yè)外殼的PHP文件上傳到wp content/plugins/wp file manager/lib/files/文件夾。

他們還發(fā)現(xiàn)他們首先用空文件探測(cè)潛在的易受攻擊的站點(diǎn)，并且只有在攻擊成功的情況下，才試圖注入惡意腳本。

NinTechNet也報(bào)告了這些攻擊企圖，稱攻擊者試圖上傳一個(gè)惡意的hardfork.php文件允許他們?cè)赪ordPress站點(diǎn)的/wp admin/admin中注入惡意代碼的腳本

超過(guò)30萬(wàn)個(gè)網(wǎng)站仍然容易受到攻擊

Wordfence的信息安全主管Chloe Chamberland解釋說(shuō)：“像這樣的文件管理器插件可以讓攻擊者直接從WordPress儀表板操作或上傳他們選擇的任何文件，有可能讓他們?cè)诰W(wǎng)站的管理區(qū)域升級(jí)權(quán)限。”。

“例如，攻擊者可以使用泄露的密碼訪問(wèn)站點(diǎn)的管理區(qū)域，然后訪問(wèn)此插件并上載一個(gè)webshell以進(jìn)一步枚舉服務(wù)器，并可能使用另一個(gè)漏洞升級(jí)其攻擊。

昨天上午，文件管理器的開(kāi)發(fā)團(tuán)隊(duì)通過(guò)文件管理器6.9的發(fā)布解決了這個(gè)被積極利用的關(guān)鍵漏洞。

然而，根據(jù)WordPress插件門戶網(wǎng)站上提供的歷史下載數(shù)據(jù)，在過(guò)去兩天內(nèi)，該插件僅被下載了126000次，包括更新和新安裝，導(dǎo)致57.4萬(wàn)個(gè)WordPress網(wǎng)站暴露在外。

幸運(yùn)的是，在安裝了活動(dòng)文件管理器插件的所有站點(diǎn)中，只有51.5%的站點(diǎn)(總計(jì)超過(guò)300000個(gè)站點(diǎn))正在運(yùn)行一個(gè)易受攻擊的版本，攻擊者可以在成功利用該漏洞后執(zhí)行任意代碼。

建議文件管理器用戶盡快將插件更新到6.9版本，以阻止正在進(jìn)行的攻擊。