-
Похожий контент
-
От KL FC Bot
Плохие новости для компаний, использующих сайты на базе WordPress с механизмом двухфакторной аутентификации, реализованным через плагин Really Simple Security. Недавно обнаруженная в этом плагине уязвимость CVE-2024-10924 позволяет постороннему человеку аутентифицироваться на сайте под видом легитимного пользователя. Поэтому плагин рекомендуется обновить как можно быстрее.
Чем опасна уязвимость CVE-2024-10924
Как бы иронично это ни звучало, но уязвимость CVE-2024-10924 в плагине с названием Really Simple Security имеет CVSS-рейтинг 9.8 и классифицируется как критическая. По сути это ошибка в механизме аутентификации, из-за которой атакующий может залогиниться на сайте как любой из зарегистрированных на нем пользователей, с полными его правами (даже админскими). В результате это может привести к перехвату контроля над сайтом.
На GitHub уже появились доказательства возможности эксплуатации этой уязвимости. Более того, судя по всему, ее применение можно автоматизировать. Исследователи из Wordfence, обнаружившие CVE-2024-10924, назвали ее самой опасной уязвимостью, обнаруженной ими за 12 лет работы в сфере безопасности WordPress.
View the full article
-
От KL FC Bot
WordPress — самая популярная система управления контентом в мире. Как очень любят упоминать сами разработчики этой системы, на WordPress построено более 40% веб-сайтов. Однако у этой популярности есть и обратная сторона: такое огромное количество потенциальных мишеней неизбежно притягивает злоумышленников. По той же причине и исследователи кибербезопасности внимательно изучают WordPress и регулярно рассказывают о тех или иных проблемах данной CMS.
В результате достаточно часто можно услышать мнение о том, что WordPress свойственны проблемы с безопасностью. Но у столь пристального внимания есть и позитивная сторона: благодаря ему хорошо известны и сами угрозы, и те методы, с помощью которых с ними можно справляться, чтобы сделать свой WordPress-сайт безопасным. Об этом мы сегодня и поговорим.
1. Уязвимости в плагинах, темах и WordPress core (именно в этом порядке)
Во всех подборках проблем с безопасностью WordPress, которые вы можете найти в интернете, стабильно фигурируют такие вещи, как межсайтовый скриптинг (XSS, cross-site scripting), внедрение SQL-кода (SQLi, SQL injection) и межсайтовая подделка запроса (CSRF, cross-site request forgery). Так вот, все эти атаки — а также ряд других — становятся возможны из-за уязвимостей либо в основном программном обеспечении WordPress (WordPress core), либо в плагинах и темах.
При этом следует иметь в виду, что, по статистике, непосредственно в WordPress core обнаруживают лишь малую часть уязвимостей. К примеру, за весь 2022 год в основном ПО WordPress нашли всего 23 уязвимости — что составляет 1,3% от всех 1779 уязвимостей, найденных в WordPress в прошлом году. Еще 97 багов (5,45%) были обнаружены в темах. Ну а львиная доля приходится на плагины: в них нашли 1659 уязвимостей, то есть аж 93,25% от общего числа.
Стоит заметить, что количество обнаруживаемых в WordPress уязвимостей не должно быть поводом для того, чтобы отказываться от использования этой CMS. Уязвимости есть везде, просто находят их в основном там, где активно ищут, — то есть в наиболее популярном программном обеспечении.
Как повысить безопасность:
Всегда вовремя обновляйте WordPress core — пусть уязвимости в нем находят не так часто, их эксплуатация может быть гораздо более массовой, так что опасно надолго оставлять их незапатченными. Также не забывайте обновлять темы и — в особенности — плагины. Именно плагины ответственны за большинство известных уязвимостей в экосистеме WordPress. Не устанавливайте «лишние» WordPress-плагины, то есть те, которые не требуются для работы вашего сайта. Это поможет существенно снизить количество потенциальных уязвимостей, которые есть на вашем WordPress-сайте. Вовремя деактивируйте или вовсе удаляйте те плагины, которые вам больше не нужны.
Посмотреть статью полностью
-
От KL FC Bot
Создатели любого веб-сайта несут за него моральную и юридическую ответственность на все время его существования. При этом мало кто знает, что если веб-сервер компании взломают, то пострадать может не только организация и ее клиенты. Нередко взломанный сайт становится площадкой для запуска новых кибератак, причем владельцы этого часто просто не замечают.
Зачем взламывают сайт компании
Взлом сайта может быть частью более крупной кибератаки или самостоятельной криминальной активностью. Под «взломом» мы понимаем внесение в сайт изменений, не путайте его с DDoS-атакой. Итак, если взлом нацелен именно на вашу компанию, то его цели обычно такие:
оказать давление на организацию в рамках атаки вымогателей; оповестить клиентов и партнеров о том, что компания взломана; скачать с сайта ценную информацию, например контакты клиентов, если она хранится в его базах данных; отвлечь сотрудников IT и ИБ от более важной атаки, направленной на кражу данных или саботаж; просто нанести репутационный урон. Но очень часто взломщикам не нужен именно ваш сайт. Их устроит любой сайт с хорошей репутацией, на котором они могут незаметно разместить вредоносный контент. Дальше на сайте появляются фишинговые страницы-подделки, ссылки на спам-ресурсы, реклама во всплывающих окнах. В общем, он становится орудием злоумышленников. При этом основные разделы сайта могут быть не затронуты. Открывая главную страницу или основные подразделы, клиенты и сотрудники ничего не заметят. Вредоносный контент размещается в новых подпапках, а жертв в эти подразделы заманивают при помощи прямых ссылок.
Посмотреть статью полностью
-
От KL FC Bot
Десятки и сотни тысяч сайтов в Интернете — подделки. Они выглядят как сайты популярных интернет-магазинов, банков, служб доставки, но созданы лишь с одной целью: выманить ваши пароли и финансовые данные. Жертв заманивают на такие сайты с помощью фишинговых писем, сообщений в мессенджерах и даже платной рекламы. Если вы кликнули на неприятную ссылку, еще не поздно уйти с мошеннического сайта без всяких потерь. Главное — вовремя заметить фальшивку.
Где размещают фишинговые веб-сайты
Иногда мошенники создают специальный новый сайт и регистрируют для него имя, похожее на имя оригинала (например, netflik.com вместо netflix.com). Про подделки имен у нас есть отдельная статья, которую тоже советуем изучить. Но такие специальные сайты дорого создавать и несложно целиком заблокировать, поэтому многие преступники идут другим путем. Они взламывают легитимные сайты любой тематики и создают на них собственные подразделы, где и публикуют фишинговые страницы с подделками. Очень часто жертвой такого взлома становятся сайты небольших компаний, потому что у них нет специалистов, которые могут постоянно обновлять сайт и следить за ним. Иногда взлом сайта не замечают годами, что очень удобно злодеям.
Одной из популярнейших систем для создания сайтов является WordPress, и поэтому число взломанных WordPress-сайтов исчисляется десятками тысяч. Правда, такой взломанный сайт несложно заметить и проверить самому.
Посмотреть статью полностью
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти