20萬網站受影響，WordPress插件曝零日漏洞

近日，網絡安全研究人員發現廣泛使用的WordPress網站的Ultimate Member插件（用于簡化用戶注冊及登錄流程）存在0day漏洞，該插件目前已安裝在全球超過20萬個活躍網站上。

該0day（CVE-2023-3460，CVSSv3.1評分9.8）使得黑客能夠在目標網站上獲取提升的權限，可能導致未經授權的訪問以及對受影響網站的控制。更嚴重的是，已經有攻擊者在利用此漏洞進行攻擊。

據了解，Ultimate Member插件通過使用預定義的用戶元數據鍵列表來運行，其中存在安全繞過的空間。Ultimate Member的黑名單邏輯與WordPress處理元數據鍵的方式存在差異，這使得攻擊者有可能欺騙插件更新一些不應該更新的內容，比如“wp_capabilities”（用于存儲用戶的角色和權限）。未經身份驗證的攻擊者能夠利用Ultimate Member插件中的這個特權提升漏洞來創建具有管理員權限的惡意賬戶，從而完全接管受影響的網站。

WPScan的博客表明，這些攻擊至少從6月初以來一直在進行，一些用戶已經觀察到并報告了相關可疑活動，如未經授權的管理員賬戶的創建。

作為對此漏洞的回應，Ultimate Member插件的開發者立即發布了一個新版本2.6.4，然而仍然存在繞過此補丁的方式，漏洞仍能夠被利用。在之后發布的2.6.7版本中，此問題終于得到完全的修復。

Ultimate Member插件開發者建議，受影響的用戶最好按照以下步驟向其網站添加安全措施：

① 查看并刪除未知管理員帳戶；

② 重置所有用戶密碼（包括管理員賬戶密碼）；

③ 安裝并激活WPScan、WordFence等安全插件；

④ 確保網站部署SSL證書；

⑤ 創建網站文件和數據庫的每日備份；

⑥ 向網站成員/客戶發送關于此事件的通知及密碼重置建議。