资安漏洞：WordPress 11 种外挂 Plugins 和布景主题 Themes 安全性问题

WordPress 内容管理系统的用户请注意，近日一共有 9 支外挂程序（Plugins）和外观的布景主题（Theme）出现严重等级的资安问题。这些问题程序内建的 PHP 网页已经遭到窜改，攻击者可透过内藏的资安漏洞，上传任意文件到网站服务器中，借以夺取服务器的管理权限。

这次出现资安威胁的外挂程序，例如「WP Symposium」，便是该外挂目录下的「server/php/index.php」和「server/php/UploadHandler.php」两个网页脚本中被事先写入危险指令，让攻击者得以借壳上传木马程序到服务器中，进而直接下达控制指令管理你的服务器，进行任何他们想要的动作行为。

目前已知被攻击者作为跳板使用的境外服务器，分别位在美国俄亥俄州的哥伦布市（Columbus）与塔尔萨（Tulsa, United States），甚至连科技界最富盛名的山景城（Mountain View）也被攻陷。另外，德国的北莱茵西发利亚邦（Nordrhein-Westfalen, Germany）、瑞典的隆德（Lund, Sweden）、阿拉伯联合酋长国的迪拜（Dubai, United Arab Emirates），以及法国的瓦朗谢讷（Valenciennes, France）等地电脑端也都有被利用的情况。

攻击者首先无差别扫描全球 WordPress 服务器，并且连续针对这 9 大外挂程序和布景主题进行攻击，此时只要你的商业网站或部落格有使用下面任何一个外挂，必且平常也不注重资安管理，那么你的 WordPress 服务器便可能已经不再安全，甚至有可能摇身一变成为攻击者的网络傀儡（又称网络僵尸）。

WordPress 8 大高风险外挂程序与外挂主题

• WP Symposium
• WP Ecommerce Shop Styling
• Candidate Application Form
• Simple Image Manipulator
• WPTF Image Gallery
• Recent Backups
• mTheme Unus
• wp Mobile Detector

2018年08月追加 2 种有问题的外挂程序：

• UnGallery
• WP Support Plus Responsive Ticket System

上面除了 mTheme Unus 这个布景主题外，其他 7 个外挂程序涵盖影像管理、网站备份、表单、社交以及风格管理等各层面，算是有计划性的针对最大用户群体进行散布。

至于还一个遭到黑帽骇客锁定的程序则较为麻烦，因为它是利用 WordPress 原生文件「admin-ajax.php」进行攻击，算是近期颇具知名度的一个公开漏洞，被命名为本地文件包含漏洞（Local File Inclusion, LFI），这次也被同一位攻击者「顺便」用于窃取 wp-config.php 这个 WP 网站最重要的设定文件资料，如果你平常疏于防范，便有可能泄露了自己的数据库帐密等信息！

工字号建议各位 WP 站长和部落客，就算你无法亲手替 Linux 服务器强化资安防护，也一定要记得替 WordPress 安装资安类的外挂程序！我这边推荐两套 WP 系统中赫赫有名的程序给大家，算是懒人包式的强化手段，包括：

• Wordfence Security – Firewall & Malware Scan.
• iThemes Security (formerly Better WP Security).

题外话，这一两年有很多部落客纷纷从大型平台跳下来成为独立门户，虽然架设 WordPress 网站的过程不太困难，但我深觉后续维护管理和对抗外界攻击真的相当麻烦。

对于想要纯粹从事文字创作的朋友来说，是否真的要独自架设网站也可以从这个角度做些考虑。

要不然就去申请类似 Bluehost 🇺🇸、远振信息 Yuan-Jhen 🇹🇼这些服务器供应商提供的专用 WordPress 服务器吧，除了价格便宜而且方便使用外，还提供强化过的服务器和备份等功能，也算是省时省力的一个解决方案。