網絡安全研究人員近期發現 WordPress LiteSpeed Cache 插件中存在一個安全漏洞，該漏洞被追蹤為 CVE-2023-40000，未經身份驗證的威脅攻擊者可利用該漏洞獲取超額權限。

LiteSpeed Cache 是一種緩存插件，被用于 500 多萬個 WordPress 網站，可幫助加快頁面加載速度、改善訪客體驗并提高谷歌搜索排名。

今年4月，Automattic 的安全團隊 WPScan 發現，威脅行為者掃描和入侵使用 5.7.0.1 以上版本插件的 WordPress 網站的活動有所增加，因為這些網站存在一個高嚴重性（8.8）未經驗證的跨站腳本漏洞，該漏洞被追蹤為 CVE-2023-40000。

在掃描易受攻擊的網站時，來自 94[.]102[.]51[.]144 IP 地址的探測請求超過 120 萬個。

WPScan 報告稱，這些攻擊使用惡意 JavaScript 代碼注入關鍵 WordPress 文件或數據庫，并創建了名為 "wpsupp-user "或 "wp-configuser "的管理員用戶。

另一個感染跡象是數據庫中的 "litespeed.admin_display.messages "選項中出現了 "eval(atob(Strings.fromCharCode "字符串。

惡意 JS 代碼創建流氓管理員用戶，圖源：WPScan

大部分 LiteSpeed Cache 用戶已遷移到不受 CVE-2023-40000 影響的最新版本，但仍有大量用戶（多達 1,835,000 人）運行有漏洞的版本。

鎖定電子郵件訂閱者插件

攻擊者可通過在 WordPress 網站上創建管理員賬戶的功能獲得網站的完全控制權，從而修改內容、安裝插件、更改關鍵設置、將流量重定向到不安全的網站、分發惡意軟件、網絡釣魚或竊取可用的用戶數據。

本周初，Wallarm 報道了另一起針對 WordPress 插件 "電子郵件訂閱者 "創建管理員賬戶的攻擊活動。

黑客利用的是 CVE-2024-2876，這是一個嚴重程度為 9.8/10 的關鍵 SQL 注入漏洞，影響的插件版本為 5.7.14 及更早版本。

Wallarm表示，在觀察到的攻擊實例中，CVE-2024-27956 已被用于對數據庫執行未經授權的查詢，并在易受攻擊的 WordPress 網站（例如，以 "xtw "開頭的網站）上建立新的管理員賬戶。

雖然 "Email Subscribers "遠沒有 LiteSpeed Cache 那么流行，它的有效安裝總數只有 90000 個，但觀察到的攻擊表明，黑客不會放過任何能攻擊的機會。

研究人員建議WordPress 網站管理員將插件立即更新到最新版本，刪除或禁用不需要的組件，并監控是否有新的管理員賬戶創建。

如果確認出現漏洞，必須對網站進行全面清理，需要刪除所有惡意賬戶，重置所有現有賬戶的密碼，并從干凈的備份中恢復數據庫和網站文件。