Blog

Phishing i jak się przed nim chronić

Ataki phishingowe to jeden z głównych problemów związanych z bezpieczeństwem danych, z jakim borykają się firmy. Około 96% ataków phishingowych dostarczanych jest za pośrednictwem poczty e-mail, więc należy zwrócić uwagę, aby pracownicy zachowali czujność i myśleli, zanim w coś klikną.

Na szczęście istnieje kilka dość prostych sposobów, aby nauczyć się nie łapać na haczyk, bez względu na to, jak podstępnie do nas podchodzą. Najpierw trzeba jednak zrozumieć wroga.

Co to jest phishing?

Według definicji phishing to nieuczciwa próba nakłonienia osób do ujawnienia poufnych informacji (nazw użytkownika, haseł i danych bankowych) poprzez udawanie zaufanego źródła, często za pośrednictwem poczty e-mail.

Spear phishing to z kolei bardziej spersonalizowany sposób namierzenia ofiary wykorzystujący potencjalne słabości odbiorcy. Nadawcą wiadomości wydaje się być znana i zaufana osoba, a sama w sobie zawiera informacje potwierdzające swoją ważność. W dodatku żądanie wydaje się mieć logiczne podstawy.

Wiadomości phishingowe zazwyczaj próbują nakłonić odbiorcę do zrobienia jednej z dwóch rzeczy: przekazania poufnych lub cennych informacji lub pobranie złośliwego oprogramowania. Istnieje kilka rodzajów phishingu, a każdy z nich może namieszać w organizacji.

Co może wskazywać na phishing?

  • żądanie poufnych informacji za pośrednictwem poczty elektronicznej
  • błędy ortograficzne i gramatyczne w wiadomości
  • brak danych związanych z Twoją osobą, a zwroty są ogólne
  • zbyt pilne tematy i zwroty, takie jak „Zweryfikuj swoje konto”
  • część adresu e-mail nie pasuje dokładnie do adresu URL witryny internetowej firmy
  • podejrzane załączniki/linki, które np. mogą spowodować zainstalowanie trojana
  • adres URL nie zaczyna się od „https”

Jak zabezpieczyć się przed phishingiem?

  • Uwierzytelnianie wieloskładnikowe utrudnia oszustom logowanie się na konta, jeśli otrzymają nazwę użytkownika i hasło. Niektóre konta oferują dodatkowe zabezpieczenia, wymagając dwóch lub więcej poświadczeń, aby zalogować się na konto.
  • Zainstaluj oprogramowanie zabezpieczające żeby chronić wszystkie komputery w organizacji. Dbaj o aktualność wszystkich systemów, aby dzięki najnowszym poprawkom i aktualizacjom zabezpieczeń mogły radzić sobie z najnowszymi zagrożeniami bezpieczeństwa.
  • Zainstaluj ochronę antywirusową i monitoruj stan na wszystkich urządzeniach.
  • Wdróż filtr SPAM, który wykrywa wirusy, podejrzanych nadawców itp.
  • Włącz dodatki i rozszerzenia przeglądarki, uniemożliwiające użytkownikom wchodzenie w złośliwe linki.
  • Twórz kopie zapasowe danych i upewnij się, że stworzone kopie nie są podłączone do zwykłej sieci. Możesz skopiować pliki komputerowe na zewnętrzny dysk twardy lub do pamięci w chmurze.
  • Zaszyfruj wszystkie poufne informacje firmy.
  • Nie odpowiadaj na podejrzane wiadomości, nawet jeśli rozpoznajesz nadawcę jako znaną firmę lub instytucję finansową. Jeśli masz konto w tej instytucji, skontaktuj się z nią bezpośrednio i poproś o zweryfikowanie informacji zawartych w e-mailu.
  • Nie wprowadzaj swoich danych osobowych ani haseł w niezaufanych witrynach sieci Web ani w formularzach, do których odwołuje się otrzymana wiadomość.

Istnieje wiele kroków, które firma może podjąć w celu ochrony przed phishingiem. Muszą śledzić aktualne strategie phishingowe i potwierdzać, że ich polityka bezpieczeństwa i rozwiązania mogą eliminować zagrożenia w miarę ich ewolucji. Równie ważne jest upewnienie się, że ich pracownicy rozumieją, z jakimi atakami i zagrożeniami mogą się spotkać i jak mogą im przeciwdziałać. Żadna z taktyk nie zapewni 100% ochrony, jednak przeszkoleni pracownicy i odpowiednio zabezpieczone systemy mają kluczowe znaczenie dla osłonięcia Twojej firmy przed phishingiem.

Najpopularniejsze i najczęściej hakowane hasła

Coraz częściej dochodzi do naruszeń danych i cyberataków. Dbanie o swoje hasła jest bardzo ważne aby chronić Twoją tożsamość online i prywatne informacje.
Jednym z kluczowych elementów silnego hasła jest jego niepowtarzalność. Oto najczęściej używane hasła i wyrażenia używane w hasłach przez ludzi na całym świecie:

  1. 123456
  2. 123456789
  3. qwerty
  4. password
  5. 12345
  6. qwerty123
  7. 1q2w3e
  8. 12345678
  9. 111111
  10. 1234567890

Jeśli zaś chodzi o Polskę, to na pierwszym miejscu także znajduje się „123456”, na drugim „qwerty”, a podium zamyka „123456789”. Na liście znajdzie się także „polska”, a w kolejnej dziesiątce imiona: „misiek”, „mateusz”, „marcin” czy „monika”.

Co najczęściej pojawia się w hasłach?

Aby stworzyć proste, łatwe do zapamiętania kombinacje w hasłach, wiele osób decyduje się połączyć je z czymś, co będą mogli łatwo przywołać. To właśnie to sprawia, że ich hasła stają się mało unikalne.

Można przyjąć założenie, że ludzie przeważnie używają dat w swoich hasłach. Najczęściej są to:

  • ich rok urodzenia
  • rok, w którym utworzono hasło
  • specjalny rok

Z analizy wynika, że ​​najpopularniejszym rokiem jest rok 2010, z prawie 10 milionami wersji tego roku używanych w hasłach. Drugim najpopularniejszy rok to 1987 z 8,4 milionami, a trzeci 1991 z prawie 8,3 milionami.

Jednymi z najpopularniejszymi imion używanymi w hasłach są Eva, Alex, Anna, Daniel czy Max. Najczęściej pojawiające się na liście polskie imiona to Monika, Bartek, Damian , Karolina, Daniel i Agnieszka. Wiele osób używa też jako hasło ulubione marki, tytuły gier czy marki ze świata popkultury. Na liście najpopularniejszych haseł nie mogło zabraknąć słów „kochamcie” czy angielskie „iloveyou” oraz przekleństw, których z grzeczności nie będziemy cytować. Co jest łatwiejsze do zapamiętania?

Trudno jest ocenić, czy te elementy hasła – czy to rok, przekleństwo, miasto czy jeszcze inne – są dobre, czy złe. Jednak warto jest zwrócić uwagę na to, że większość używanych haseł ma 8 lub mniej znaków. To, w połączeniu z prawdopodobieństwem, że hasła nie są zbyt złożone – zamiast tego składają się z łatwych do odgadnięcia kombinacji – prowadzi nas do przekonania, że ​​hasła z baz danych nie są zgodne ze standardami.

Na szczęście istnieją znacznie lepsze sposoby na stworzenie silnego hasła. Na przykład, używając słowa „myszka” jako elementu hasła, łatwo odgadnąć coś, co mogłoby brzmieć „malutkamyszka” (12 znaków), podczas gdy czymś bardziej złożonym byłoby „/MaLutkA/Myszka987/” (hasło składające się z 18 znaków). Nadal nie jest ono trudne do zapamiętania, jednak zawiera już różne typy znaków i jest znacznie dłuższe i trudniejsze do odgadnięcia.

Najlepszym i najłatwiejszym sposobem na osiągnięcie pełnego bezpieczeństwa jest zastosowanie systemu zarządzania hasłami. Dobry menedżer haseł utworzy bezpieczne hasła do wszystkich kont, wypełni je automatycznie podczas logowania i będzie miał wysoki poziom szyfrowania, aby nikt nie mógł wykraść twoich informacji. Posiadając dobry system zarządający będziesz mieć gwarancję, że twoje hasła są silne, bezpieczne i chronione.

Jak zadbać o bezpieczeństwo strony internetowej?

Stworzenie własnej strony internetowej nigdy nie było łatwiejsze niż teraz. Jest to możliwe dla praktycznie każdego. Jednak tworząc witrynę musisz zadbać o to aby była ona bezpieczna zarówno dla ciebie jak i użytkowników. Kiedy klienci dokonują płatności kartą kredytową, muszą wiedzieć, że ich dane są bezpieczne. Odwiedzający nie chcą, aby ich dane osobowe wpadły w niepowołane ręce.

Co więcej Tobie też powinno zależeć aby być jak najmniej narażonym na ataki hakerów. Będąc właścicielem witryny powinieneś być na bieżąco z aktualizacjami wtyczek i wszystkiego, co wymaga aktualizacji. Oprócz naprawiania błędów lub usterek, aktualizacje oprogramowania zazwyczaj zawierają ulepszenia lub łatki bezpieczeństwa. Hakerzy zawsze będą szukać sposobów na wykorzystanie luk w oprogramowaniu. Jeśli nie jesteś na bieżąco z najnowszymi wersjami oprogramowania, hakerzy z łatwością zidentyfikują Twoją witrynę, zanim będziesz mógł coś z nią zrobić.

Bezpieczeństwo witryny to zarówno prosty, jak i skomplikowany proces. Istnieje co najmniej kilka podstawowych kroków, które możesz podjąć, aby je poprawić, zanim będzie za późno.

  1. Dodaj certyfikat SSL

SSL (Secure Sockets Layer) jest punktem wyjścia do posiadania bezpiecznej strony internetowej. Szyfruje informacje, aby uniemożliwić innym odczytanie ich podczas przesyłania oraz odmawia osobom nieposiadającym odpowiednich uprawnień dostępu do danych. Bez niego dane są niechronione i podatne na ataki hakerów.

Nie musisz znać technicznych tajników bezpieczeństwa SSL, więc nie martw się, jeśli tak naprawdę nie rozumiesz, jak to działa. Najważniejsze żebyś wiedział, że Twoja witryna potrzebuje certyfikatu i jak się do tego zabrać. Możesz na przykład:

  • wybrać dobrej jakości kreator stron internetowych, który zawiera SSL w pakiecie
  • wybrać dostawcę hostingu , który zapewnia SSL we wszystkich planach
  • zainstalować podstawowy Let’s Encrypt SSL za darmo

Jeśli zależy Ci na dużo wyższym poziomie bezpieczeństwa, będziesz musiał zapłacić za zaawansowany certyfikat SSL. Różnią się one ceną i można je kupić od dostawców hostingu lub rejestratorów domen. Jednak jeśli nie prowadzisz dużego sklepu internetowego lub nie obsługujesz dużych ilości wrażliwych danych, prawdopodobnie wystarczy darmowa wersja SSL.

2. Zadbaj żeby twoje hasło było nie do złamania

Wielu osobom posiadając multum kont, nie chce się pamiętać, które hasło ustawili, do którego z nich, dlatego żeby ułatwić sobie życie, używają jednego do wszystkich z nich. Jest to poważny błąd narażający na ataki hakerów.

Dobre hasła powinny być długie, za każdym razem składać się z co najmniej dwunastu znaków i być kombinacją cyfr i symboli. Nigdy nie używaj tego samego hasła dwa razy ani nie udostępniaj go innym. Zamiast używać łatwych do odgadnięcia fraz, oto kilka rzeczy, które powinieneś zrobić:

  • połącz trzy losowe, niepowiązane frazy
  • użyj losowo wygenerowanej sekwencji znaków
  • nigdy nie używaj danych osobowych w swoim haśle – to pierwsza rzecz, jaka pomoże hakerom

Istnieje pozornie nieskończona lista wskazówek dotyczących haseł i powinieneś połączyć kilka z tych taktyk, aby utworzyć hasła niemożliwe do złamania. Po uzyskaniu kuloodpornych haseł uważaj na nie – nie udostępniaj ich, nawet znajomym, i zmieniaj je regularnie (mniej więcej raz na kwartał). Jeśli jesteś właścicielem lub me firmy, upewnij się, że wszyscy pracownicy także często zmieniają swoje hasła.

3. Twórz regularnie kopie zapasowe

Jeśli witryna Twojej witryny zostanie zhakowana, potrzebujesz sposobu na szybkie wznowienie działania, aby nie stracić klientów. Dlatego ważne jest abyś miał kopie zapasowe witryny, żeby szybko przywróć najnowszą nieuszkodzoną wersję, jeśli coś pójdzie nie tak.

Żeby nie musieć martwić się i pamiętać warto pomyśleć o automatycznych regularnych kopiach zapasowych. Im częściej aktualizujesz swoją witrynę, tym częstsze powinny być kopie zapasowe. Jeśli zostaniesz zaatakowany, nie będziesz żałować, że utworzyłeś zbyt dużo kopii zapasowych swojej witryny.

4. Aktualizuj oprogramowanie

Korzystanie z CMS z różnymi przydatnymi wtyczkami i rozszerzeniami daje wiele korzyści, ale niesie ze sobą również ryzyko. Główną przyczyną hakowania witryn internetowych są luki w rozszerzalnych komponentach systemu zarządzania treścią.

Ponieważ wiele z tych narzędzi jest tworzonych jako programy typu open source, ich kod jest łatwo dostępny – zarówno dla programistów o dobrych intencjach, jak i złośliwych hakerów. Hakerzy mogą szukać luk w zabezpieczeniach, które pozwolą im przejąć kontrolę nad Twoją witryną, wykorzystując wszelkie słabości platformy lub skryptu. Aby chronić swoją witrynę przed włamaniem, zawsze upewnij się, że system zarządzania treścią, wtyczki i aplikacje są aktualne.

Powinieneś być w stanie ustawić te aktualizacje tak, aby odbywały się automatycznie na pulpicie nawigacyjnym – ale nadal warto mieć na to oko i upewnić się, że wszystko działa płynnie. Dopuszczenie do dezaktualizacji witryny może być śmiertelnym ciosem pod względem bezpieczeństwa, więc nie zaszkodzi zachować czujność i być na bieżąco z aktualizacjami.

5. Monitoruj regularnie swoją stronę

Przeprowadzaj regularne kontrole bezpieczeństwa witryny
Dobra kontrola bezpieczeństwa może pomóc zidentyfikować ci potencjalne problemy z Twoją witryną. Użyj usługi monitorowania sieci, aby to zautomatyzować. Dobrze byś przeprowadzał test oprogramowania swojej witryny co najmniej raz w tygodniu.

Po otrzymaniu raportu zwróć szczególną uwagę na wyniki. Powinien on zawierać szczegółowe informacje na temat wszystkich luk. Może nawet klasyfikować je według poziomu zagrożenia. Przejrzyj je dokładnie i zacznij od naprawy tych najbardziej szkodliwych.

Zabezpieczenie witryny i nauczenie się, jak chronić się przed hakerami, to duża część utrzymania bezpiecznej witryny na dłuższą metę! Nie zwlekaj z podjęciem wymienionych wyżej kroków.

Roundcube – ważne informacje o logowaniu

Dzisiaj obchodzimy Dnia Bezpiecznego Internetu. Z tej okazji chcielibyśmy szczególnie zwrócić uwagę na sposób logowania do swojej poczty za pomocą tego popularnego webmaila.

Otrzymujemy informacje o problemach podczas logowania się na stronie www.roundcube.pl

Każdy kto posiada usługę hostingową w STATNET może korzystać z popularnego webmaila Roundcube.

PRZYPOMINAMY! To nie jest strona naszej firmy. W żaden sposób nie jest powiązana z naszymi serwerami. Ponadto nie jest to również oficjalna domena twórców tego webmaila. Logowanie poprzez tą stronę może narażać na niebezpieczeństwo!

Przypominamy, że wszyscy nasi klienci mogą logować się w następujący sposób:

https://hd-nnn.stpl.net.pl/roundcube

W przypadku, gdy domena podpięta jest do naszego serwera, należy zalogować się w następujący sposób:

mojastrona.pl/roundcube

Jeśli kiedykolwiek zdarzyło Ci się zalogować na stronę roundcube.pl zalecamy natychmiastową zmianę hasła do skrzynki pocztowej.

Dla zwiększenia bezpieczeństwa zablokowaliśmy dostęp do strony roundcube.pl oraz dodaliśmy adres IP tej strony na czarną listę.

Dlaczego warto robić kopie zapasowe?

Dziś (31 marca) obchodzimy Międzynarodowy Dzień Backupu.

Czym jest backup?

Backup danych to inaczej kopia zapasowa lub kopia bezpieczeństwa, którą wykonuje się w celu zabezpieczenia danych. Kopie przechowywane są na zewnętrznym serwerze.
Najczęściej uświadamiamy sobie jak ważne jest posiadanie backupu w przypadku nagłej awarii. Dopóki wszystko działa jak należy, wydaje nam się, że wykonywanie kopii zapasowych jest zbędne.

Jakie mogą być przyczyny utraty danych?

Przyczyny utraty danych dzielą się na dwie grupy:

  • niezależne od człowieka – sprzęt jest tylko sprzętem. Nawet jeśli posiadamy usługę w najlepiej zabezpieczonej serwerowni mogą dopaść nas zdarzenia losowe, np. awarie sprzętu, usterki techniczne, awarie oprogramowania, aktualizacje systemu, ataki hakerskie
  • zależne od człowieka – każdemu z nas zdarza się popełniać błędy, np. przypadkowo usunąć dane; bądź wprowadzając zmiany, zapomnimy ich zapisać; wystarczy nawet zapomnieć o aktualizacji oprogramowania/wtyczki/oprogramowania antywirusowego

Jednym słowem: wypadki chodzą po ludziach. Dlatego tak ważne jest, aby się przed tym zabezpieczyć.

Po co wykonywać backup?

Kopie bezpieczeństwa jak sama nazwa wskazuje, służą bezpieczeństwu naszych danych. A bezpieczeństwo naszych danych powinno być dla nas priorytetowe. Dane firmowe to istotny obszar działania firmy. W swoim biznesie przechowujemy mnóstwo bardzo ważnych danych, takich jak: dane klientów, faktury, dokumenty handlowe, bazy danych i wiele innych. Ich utrata mogłaby być bardzo bolesna w skutkach. Dlatego lepiej się uchronić przed tym posiadając aktualną kopię zapasową.

Jak wykonać kopię zapasową danych?

Idealnie, gdy kopia zapasowa jest wykonywana automatycznie przez firmę hostingową. Ważne jest również, aby kopia zapisywana była na dyskach zewnętrznych.
Posiadając usługę z panelem DirectAdmin, można w prosty sposób wykonać backup we własnym zakresie:

  • logujemy się na użytkownika
  • w zakładce funkcje zaawansowane wybieramy ‘utwórz/przywróć kopię zapasową’

Kopie zapasowe w STATNET wykonywane są następująco:

  • serwery VPS root – kopia wykonywana jest 1 raz w tygodniu
  • hosting dedykowany/hosting dla agencji – kopia wykonywana 1 raz dziennie. Przechowujemy 1 kopię dzienną oraz 1 kopię tygodniową

Istnieje możliwość wykonania większej ilości backup’ów. W tym celu prosimy się z nami skontaktować: kontakt@statnet.pl.

Dzień Bezpiecznego Internetu

Jest to bardzo ważny temat, szczególnie w obecnych czasach pandemii, kiedy spędzamy mnóstwo czasu w sieci.

Jest to doskonała okazja, aby przypomnieć kilka prostych i ważnych zasad, dzięki którym zapewnimy sobie bezpieczeństwo w internecie.

Oto one:

  1. Oprogramowanie antywirusowe – jego zadaniem jest wykrywanie, zwalczanie i usuwanie wirusów
  2. Zapora sieciowa – monitoruje przychodzący i wychodzący ruch i decyduje o tym które elementy mogą zostać przepuszczone a które należy zatrzymać.
  3. Aktualizacja oprogramowania – obejmują naprawy błędów oraz pozwalają na poprawę funkcjonalności i użyteczności.
  4. Silne hasła – skomplikowane hasła trudniej rozszyfrować .

Na koniec przypominamy aby być czujnym. Cyberprzestępcy czyhają na błędy wynikające z braku czujności.

Jeśli masz pytania? Skontaktuj się z nami! Jesteśmy na TAK, żeby Ci pomóc.

Światowy Dzień Backupu

Ostatni dzień marca już kilku dobrych lat kojarzy nam się ze Światowym Dniem Backupu.

Przypominamy, że posiadając usługę w STATNET możesz spać spokojnie. Wykonujemy backup po naszej stronie. Jednak mimo wszystko zachęcamy i zalecamy aby wykonywać go również we własnym zakresie.

W przypadku serwerów VPS wykonujemy codzienną kopię bezpieczeństwa na zewnętrzne serwery i przechowujemy 1 kopię.

Posiadając hosting dedykowany oraz hosting dla agencji również wykonywana jest codzienna kopia zapasowa. Przechowywana jest 1 kopia dzienna i 1 tygodniowa.

W przypadku serwerów dedykowanych backup należy wykonywać we własnym zakresie.

Jeśli ta ilość backupów jest nie wystarczająca i chciałbyś mieć ich więcej, nie ma sprawy! Skontaktuj się z nami, przedstawimy Ci ciekawą propozycję. Jesteśmy na TAK, żeby Ci pomóc 🙂

Wszyscy użytkownicy, którzy posiadają usługę z panelem DirectAdmin mogą wykonywać kopię w prosty sposób:

Po zalogowaniu się do panelu, wybieramy domenę a następnie klikamy ‚Utwórz/Przywróć backup’. Wybieramy pozycje, które mają być umieszczone w kopii zapasowej następnie klikamy ‚Utwórz kopię zapasową’. W zależności od ilości danych, wykonywanie kopii może trwać od kilku do kilkunastu a nawet kilkadziesiąt minut. Po zakończonej operacji otrzymamy maila.
Gdy chcemy wgrać swój backup na serwer klikamy ponownie ‚Utwórz/Przywróć backup’, następnie wybieramy plik i klikamy ‚Wybierz opcje odzyskiwania’

Tak jak wspomnieliśmy na początku, krąży takie powiedzenie, że ludzie podobno dzielą się na tych którzy robią kopie zapasowe oraz tych, którzy je robić będą 😉 A Ty do której grupy należysz?

Ważny komunikat

Drodzy Klienci,

W związku z zaistniałą sytuacją zdrowotną dotyczącą koronawirusa, podjęliśmy decyzję o przejściu całkowicie na tryb pracy zdalnej. Chcemy ograniczyć w ten sposób ryzyko zachorowania. Zależy nam na zdrowiu naszym oraz naszych najbliższych.

W związku z tym zgłoszenia techniczne prosimy zakładać w standardowy sposób, przez nasz panel klienta:  https://panel.statnet.pl 

W pilnych sprawach prosimy o kontakt telefoniczny w godzinach 8-18 w dni robocze. 

Prosimy o wyrozumiałość w sytuacji, gdy czas odpowiedzi na zgłoszenia może się nieznacznie wydłużyć.

Jednocześnie uspokajamy, że nasi administratorzy dbają o nieprzerwane działanie wszystkich usług. 

Mamy nadzieję, że dzięki stosowaniu przez nasz wszystkich wszelkich zachowawczych metod, sytuacja się ustabilizuje i uda się zatrzymać rozprzestrzenianie wirusa. Dlatego też, gorąco wszystkich zachęcamy do stosowania się do zaleceń Głównego Inspektora Sanitarnego: https://gis.gov.pl/aktualnosci/apel-glownego-inspektora-sanitarnego-w-zwiazku-z-wystepowaniem-koronawirusa-w-polsce/

Bądźmy zdrowi!

Nowe zasady dla certyfikatów SSL dla Safari

Kilka dni temu podczas spotkania grupy CA/Browser Forum, firma Apple oznajmiła, że niebawem przeglądarka Safari nie będzie uznawała certyfikatów SSL, których ważność będzie dłuższa niż 398 dni (13 m-cy). Zmiana ma obowiązywać od 1 września 2020r.

Ważne: Wszystkie certyfikaty wydane przed 1 września na dłuższy okres pozostaną ważne i nie będą wymagać modyfikacji ani wymiany. Jednak wszelkie certyfikaty wydane 1 września lub później, będą musiały być odnawiane co roku, aby zachować zaufanie Safari.

WordPress – luka w pluginie Demo Importer

Jedna z popularnych wtyczek Demo Importer posiada lukę dzięki której nieautoryzowany użytkownik może usunąć zawartość strony. Plugin Demo Importer jest częścią motywów WordPressa publikowanych przez twórcę ThemeGrill. Jak nazwa wskazuje, importuje on zawartość demo, widżety i ustawienia motywów. Importując te dane za pomocą jednego kliknięcia, ułatwia użytkownikom import zawartości demo, dając im w pełni skonfigurowane witryny wypełnione przykładowymi postami. Niestety umożliwia on również nieautoryzowanym użytkownikom wyczyszczenie całej bazy danych witryny WordPressa do jej stanu domyślnego, a następnie zalogowanie się jako administrator. Więcej na ten temat można przeczytać na stronie dostawcy WebARX zajmującego się bezpieczeństwem aplikacji internetowych tutaj.

Według firmy zajmującej się bezpieczeństwem, luka istnieje od około trzech lat w wersjach od 1.3.4 do 1.6.1 i dotyczy witryn korzystających z wtyczki, w której również zainstalowano i aktywowano motyw od ThemeGrill. Luka bezpieczeństwa tkwi w błędzie uwierzytelnienia wprowadzonym przez class-demo-importer.php, który ładuje funkcje importera wersji demo. Ten plik dodaje integruje się z kodem funkcji admin_init, czyli kodem działającym na dowolnej stronie administratora.

Kod dodany do admin_init umożliwia usunięcie zawartości bazy danych. Wszystko, co jest potrzebne do uruchomienia czyszczenia, to dołączenie parametru do_reset_wordpress do adresu URL na dowolnej stronie administracyjnych. Jedną ze stron administracyjnych jest /wp-admin/admin-ajax.php, która nie wymaga uwierzytelnienia użytkownika podczas ładowania. Załadowanie strony ze problematycznym spowoduje usunięcie tabel.

We wtorek 18 lutego opublikowano poprawioną łatkę – wersję 1.6.3.

Przypominamy, aby w sytuacji gdy nie używamy już danej wtyczki, najlepiej jest ją wyłączyć i usunąć.