关键 WordPress 插件漏洞威胁众多网站安全

最近发现的一个严重漏洞正在威胁成千上万使用 WordPress 的网站。这个漏洞位于一款广受欢迎、下载量超过 90,000 次的备份插件中，被识别为一个关键级别的远程控制执行 (RCE) 弱点。这一发现突显了插件中潜在缺陷给网站构建平台带来的广泛风险。

Nex Team，一支专业的漏洞研究团队，在备份迁移插件的一个流行版本中发现了这一 PHP 代码注入漏洞。此漏洞被赋予了 CVE-2023-6553 编号，根据 CVSS 漏洞评级系统，其严重程度高达 9.8。该漏洞允许攻击者在未经验证的情况下注入 PHP 代码，导致完整的网站接管。

备份迁移插件的主要功能是帮助网站管理员高效地安排和配置备份，包括明确指定哪些文件和数据库应包括在备份中，以及备份的存储位置和命名等等。

Defiant 的高级 Web 应用程序漏洞研究员 Alex Thomas 在 Wordfence 官方博客上发表文章指出：“由于这一漏洞，未经授权的攻击者可以轻松注入任意 PHP 代码，威胁到整个网站的安全。” 他补充道，仅在博客文章发布的前 24 小时内，Wordfence 就拦截了对该漏洞的 39 起攻击尝试。

Wordfence 最近启动了一个漏洞悬赏计划，Nex Team 是首批向该计划报告漏洞的研究团队之一。他们及时通知了备份迁移插件的开发者 BackupBliss，随后开发者迅速发布了补丁。作为对他们的贡献的认可，Nex Team 从 Wordfence 获得了 2,751 美元的赏金。

这一事件凸显了 WordPress 及其插件系统作为全球最大网站构建平台之一，面临的安全挑战。攻击者常常利用 WordPress 插件中的漏洞进行恶意活动，这些活动包括但不限于安装恶意软件，以及通过利用新发现的漏洞快速攻击大量网站。

Wordfence 在其网站上发布的一篇文章中指出，这一 RCE 漏洞源于攻击者能够控制传递给包含文件的值，进而实现远程代码执行。换句话说，未经验证的攻击者可以通过这个漏洞在服务器上执行任意代码。

更具体地说，这个漏洞存在于备份迁移插件的 /includes/backup-heart.php 文件中。根据 Wordfence 的分析，第 118 行代码试图包含 BMI_INCLUDES 目录中的 bypasser.php 文件，而这个目录的定义是可以被外部影响的。由于这个弱点，攻击者可以提交特制的请求，包含恶意 PHP 代码，并在 WordPress 实例的安全环境下执行命令。

所有使用该备份迁移插件的 WordPress 网站，包括那些运行 1.3.7 及更早版本的网站，都可能受到这个漏洞的影响。幸运的是，开发者已经在最新的 1.3.8 版本中修复了这一缺陷。Wordfence 强烈建议所有使用该插件的 WordPress 网站管理员尽快更新到这个修补版本，以确保他们的网站安全。

Wordfence 的文章还特别提醒，如果您知道有人在其网站上使用这款插件，应该立即通知他们这一安全公告，以帮助保护他们的网站不受此严重漏洞的威胁。

这一事件再次提醒了我们，对于建立在 WordPress 平台上的亿万网站来说，保持对插件的持续警惕和及时更新至关重要。攻击者经常利用这些平台的漏洞来进行恶意活动，而这些漏洞往往是通过安装有缺陷的插件来实现的。因此，对于 WordPress 网站管理员来说，定期检查并更新插件是确保网站安全的关键步骤之一。