WordPress插件零日漏洞被积极利用，建议升级最新版本

近日，WordPress 安全公司 Wordfence 披露，黑客正积极尝试利用一个名为BackupBuddy的 WordPress 插件中的零日漏洞。该漏洞能使未经认证用户下载WordPress网站的任意文件，其中可能包含敏感信息。

关于WordPress

WordPress是使用PHP语言开发的博客平台，用户可以在支持PHP和MySQL数据库的服务器上架设属于自己的网站。也可以把 WordPress当作一个内容管理系统（CMS）来使用。

丰富的插件和模板是WordPress非常流行的一个特性。WordPress插件数据库中有超过18000个插件，包括SEO、控件等等。个人可以根据它的核心程序提供的规则自己开发模板和插件。这些插件可以快速地把你的博客改变成cms、forums、门户等各种类型的站点。

漏洞详情

BackupBuddy插件有14万活跃安装，它允许用户从仪表板中备份他们的整个 WordPress 安装，包括主题文件、页面、帖子、小部件、用户和媒体文件等。

该漏洞（CVE-2022-31474，CVSS评分：7.5）的影响范围为8.5.8.0至8.7.4.1版本。庆幸的是， 2022 年 9 月 2 日发布的 8.7.5 版中已经解决了这个问题。

漏洞的根源

该漏洞的根源在于“本地目录复制”功能， Wordfence 表示，该漏洞是不安全的实现结果，它使未经认证的威胁行为者能够下载服务器上的任意文件。

由于这个漏洞在野外被积极利用，而且容易被利用，有关漏洞的更多细节暂时不公布。

作为BackupBuddy插件的开发者，iThemes表示，这个漏洞可以让攻击者查看服务器上任何可以被WordPress装置读取的文件内容。这可能包括WordPress的wp-config.php文件以及敏感文件，如/etc/passwd。

Wordfence 指出，2022年8月26日，开始发现有很多针对CVE-2022-31474的攻击。在这段期间，它已经阻止了近500万次攻击。多数攻击指向/etc/passwd、/wp-config.php、.my.cnf、.accesshash文件。

安全建议

为了防止被黑客利用漏洞进行入侵，建议 BackupBuddy 插件的用户升级到最新版本。如果确定已经被入侵，那么建议用户重新设置数据库密码，同时更改WordPress Salts，并旋转存储在wp-config.php的API密钥。

零日漏洞事件频繁发生，我们可以通过以下措施提升零日漏洞攻击的防御能力。1、实时更新补丁和修复漏洞；2、实时监控和主动防护；3、加强网络基础设施安全；4、建立完善的零日漏洞攻击应急响应方案。