Af Torben B. Sørensen, 23/11/16
Flere sikkerhedsfolk har fundet sikkerhedshuller i den måde, WordPress opdaterer installationer på. Et hul blev lukket for nylig.
Den grundlæggende sårbarhed består i, at opdateringerne ikke er signeret. Hvis en angriber kan få adgang til de centrale opdateringsservere og placere sine egne filer på den, kan vedkommende sprede skadelige filer til tusindvis af WordPress-baserede websteder.
Sikkerhedsfirmaet Wordfence har opdaget en sårbarhed i opdateringsserveren, som netop kunne være udnyttet på den måde. Det hul blev lukket i begyndelsen af september. WordPress udbetalte en dusør til sikkerhedsforskeren, der fandt det.
Men den grundlæggende sårbarhed består: Opdateringsserveren giver adgang til at ændre kode på alle WordPress-websteder, hvilket er omkring hvert fjerde websted på verdensplan.
Problemet har været kendt i tre år.
Anbefaling
Afvent opdatering fra WordPress.