WordPress網站的安全漏洞有98%來自外掛程式

資安業者Imperva在2018年所進行的調查顯示,儘管WordPress是駭客最常鎖定的內容管理平臺(Content Management System),但全球的WordPress網站漏洞,卻有高達98%與外掛程式有關,只有2%涉及WordPress核心。

 

在全球的網站中,有28%是以WordPress架設,若計算全球基於CMS的網站,WordPress的市佔率更高達59%。

 

市佔率最高的平臺自然也成為駭客的頭號攻擊目標,與排名二、三的Joomla及Drupal相較,WordPress網站在去年出現542個安全漏洞,Joomla不到200個,Drupal則僅有100個。

 

而Imperva的研究則顯示,WordPress網站的漏洞有高達98%源自於用來擴充網站功能的外掛程式。根據WordPress官網的統計,目前支援WordPress的外掛程式數量接近5.5萬個,基於開源碼的WordPress允許任何人打造及出版外掛程式,且僅採用最低的安全標準,因而漏洞叢生。

 

最近的例子為線上客服程式WP Live Chat Support,它允許WordPress網站與造訪者進行即時的線上交流,而且可在客戶送出訊息前就看到訊息內容,亦具備檔案或影像分享能力,估計至少有6萬個WordPress網站安裝了WP Live Chat Support。

 

不過,先是Sucuri Firewall團隊在4月底發現WP Live Chat Support含有常駐的跨站指令碼漏洞。Alert Logic研究團隊繼之於5月初,揭露WP Live Chat Support團隊在去年5月釋出的8.0.11,理應完成CVE‐2018‐12426漏洞的修補,但並沒有真正地解決問題,駭客依然能夠上傳惡意檔案到用戶電腦。

 

令人不解的是,WP Live Chat Support已在5月15日釋出最新的8.0.27以修補相關漏洞,但WordPress卻在5月17日關閉了WP Live Chat Support的下載服務,且不管是WordPress或WP Live Chat Support團隊,都未提出任何的說明。

 

不論如何,在使用開源的平臺或外掛程式時,應記得慎選風評良好的開發者。

(相關資訊來自iThome