WordPress 插件面临安全风险，专家建议立即移除

关键要点

Wordfence 研究人员发现 Kaswara Modern WPBakery Page Builder 插件存在严重安全漏洞，建议网站管理员尽快移除该插件。漏洞编号为 CVE202124284，攻击者可通过该漏洞上传恶意 PHP 文件，进而获取网站控制权。尽管 Wordfence 自 2021 年 5 月 21 日起已保护其客户免受此攻击，但网站仍需切换到其他插件。老旧或不再支持的软件存在更大安全风险，因此网站管理员需要确保所有插件都是最新的。

Wordfence 的安全威胁情报团队本周警告称，针对 Kaswara Modern WPBakery Page Builder 插件的攻击尝试正在急剧增加。研究人员表示，该插件存在的严重安全漏洞CVE202124284尚未修复，但该漏洞早已被披露，并且插件已被关闭。攻击者可以利用此漏洞将恶意 PHP 文件上传到受影响的网站，导致代码执行和完整控制网站。一旦攻击者建立了立足点，他们还可以在网站文件中注入恶意 JavaScript。

尽管 Wordfence 自 2021 年以来一直为客户提供保护，但研究人员仍然强烈建议网站管理员移除 Kaswara 插件并寻找替代方案，因为该插件不太可能会获得修复。

以下是相关的安全分析表：

pioneer加速器免费版漏洞编号影响的插件攻击方式建议CVE202124284Kaswara Modern WPBakery上传恶意 PHP 文件，执行代码立即移除该插件，寻找替代

另外，Wordfence 的联合创始人兼首席执行官 K2 Cyber Security 的 Pravin Madhani 表示，WordPress 驱动着互联网上多达三分之一的网站，包括一些流量最高的网站和大量电子商务网站，因此攻击者总是在寻找新的漏洞进行利用。他指出，每一个新的 WordPress 漏洞都提醒我们插件可能会影响整个网站的安全性。

“至少，安全团队需要确保所有插件都是最新的，并且只能启用和使用真正所需的插件。”Madhani 说。对网站实施深度安全措施包括边缘安全、运行时应用安全和服务器安全，将为有效保护提供保障。

Netenrich 的首席威胁猎手 John Bambenek 提到，开源软件在 WordPress 网站的软件供应链中存在的危险在于，组件经常被添加到网站中，这些组件可能会变得危险。“当插件或软件包被放弃且不会有更新或修复时，这种情况尤其严重，”Bambenek 说。他指出，用户可以选择完全重建网站以移除 WPBakery，或使用强大的网络应用保护措施来抵御这些攻击。

Vulcan Cyber 的高级技术工程师 Mike Parkin 则表示，WordPress 的案例是一个常被忽视的网络安全挑战的完美例证：当软件达到生命周期终点、变为孤儿软件或不再获得支持时，它就会成为安全风险。“旧漏洞可能没有修复，同时也可能会发现新的漏洞但没有办法修复，”Parkin 表示。“尽管最佳选择是移除过时的软件或设备以消除威胁，但在许多情况下，实际上这是不可能的。在软件仍然至关重要且替代品不存在的情况下，组织必须找到尽可能降低风险的缓解措施，并为可能的漏洞利用做好准备。”