บริษัทด้านความปลอดภัย Wordfence ได้รายงานถึงช่องโหว่ด้านความปลอดภัยสามรายการ ที่กระทบกับปลั๊กอินบน WordPress ซึ่งปัจจุบันผู้พัฒนาปลั๊กอินทั้งหมดได้ออกตัวอัพเดตมาแก้ไขแล้ว โดยช่องโหว่ดังกล่าวเกี่ยวข้องกับการเจาะระบบด้วยอ๊อพเจ็กต์บน PHP
ทาง Wordfence ค้นพบบั๊กดังกล่าวในระหว่างการแก้ไขปัญหาเว็บไซต์ที่โดนแฮ็กให้ลูกค้า ซึ่งจัดเป็นช่องโหว่ที่ผู้ผลิตไม่ทราบรายละเอียดมาก่อนหรือ Zero-day ช่องโหว่เหล่านี้เปิดให้สามารถสร้างไฟล์อันตรายบนเว็บไซต์ของเหยื่อ ชนิดที่ไม่ทิ้งร่องรอยอะไรให้สงสัยนอกจากข้อมูล Log เกี่ยวกับ POST request ไปยัง wp-admin/admin-ajax.php เท่านั้น
สำหรับปลั๊กอินที่พบช่องโหว่ดังกล่าว ได้แก่
1. Appointments จาก WPMU Dev (ได้รับการแพทช์แล้วในเวอร์ชั่น 2.2.2)
2. Flickr Gallery จาก Dan Coulter (ได้รับการแพทช์แล้วในเวอร์ชั่น 1.5.3)
3. RegistrationMagic-Custom Registration Forms จาก CMSHelpLive (ได้รับการแพทช์แล้วในเวอร์ชั่น 3.7.9.3)
ทั้งนี้ ทาง WordPress ได้อธิบายช่องโหว่ดังกล่าวว่า เป็นการสร้างประตูหลังขึ้นบนเว็บไซต์ และมีการแจ้งเตือนไปยังผู้ใช้ที่มีปลั๊กอินดังกล่าวกว่า 21,000 เว็บให้รีบอัพเดตรุ่นใหม่แล้ว แม้จำนวนเว็บไซต์ที่ได้รับผลกระทบครั้งนี้จะค่อนข้างน้อยเนื่องจากเป็นปลั๊กอินที่ไม่ได้เป็นที่นิยมเท่าไร แต่ความรุนแรงตามระดับคะแนนของ CVSSv3 นั้นสูงมากถึง 9.8 เต็ม 10 เลยทีเดียว
ที่มา : https://www.hackread.com/3-vulnerable-wordpress-plugins-affecting-21000-websites/
