WordPress закрывает масштабную уязвимость нулевого дня

Несколько дней назад система управления контентом WordPress выпустила обновление безопасности, которое закрывает три бага. В частности, была закрыта уязвимость нулевого дня, которая позволяла хакерам дистанционно редактировать и удалять страницы сайтов на WordPress. Разработчики не сразу рассказали о ней, дав время на распространение обновления.

Уязвимость находится в версиях WordPress 4.7 и 4.7.1 и позволяет модифицировать страницы сайтов, перенаправлять их посетителей на вредоносные сайты и проводить различные атаки. Разработчики рекомендуют установить обновление как можно скорее.

Информация о существовании уязвимости появилась 20 января от компании Sucuri после того, как её обнаружил один из специалистов. Исследователи не нашли доказательств, что она была использована хакерами в реальных атаках. Достаточно быстро было выпущено обновление, однако в WordPress потратили дополнительные время на его тестирование.

Sucuri добавила новые правила в свой брандмауэр Web Application Firewall, чтобы заблокировать попытки использовать эту уязвимость. То же самое сделали ряд других компаний для защиты своих пользователей. В четверг миллионы пользователей WordPress 4.7.х получили автоматическое обновление и были защищены.