WordPress 6.4.2發布更新解決高風險遠端程式碼執行漏洞

WordPress 發布了6.4.2 版本，其中包含一個針對關鍵安全漏洞的補丁，該漏洞可能被威脅者利用，將其與另一個漏洞結合起來，在易受攻擊的網站上執行任意PHP 程式碼。

WordPress官網發佈公告表示：「這是一個無法在核心中直接利用的遠端程式碼執行漏洞；但是，安全團隊認為，與某些外掛程式結合使用時，特別是在多站點安裝中，可能會導致嚴重的安全漏洞。 」

根據WordPress安全公司Wordfence 的說法，這個問題根源於wordpress6.4版本中引入的WP_HTML_Token類，該類別旨在改進區塊編輯器中的HTML 解析。

威脅參與者能夠利用任何其他外掛程式或主題中存在的PHP物件注入漏洞來連結兩個問題以執行任意程式碼並奪取目標網站的控制權。

Wordfence先前在2023年9月指出：「如果透過目標系統上安裝的附加外掛程式或主題存在POP [面向屬性的編程¹]鏈，則攻擊者可能可以刪除任意檔案、檢索敏感資料或執行程式碼。 ” 。

在Patchstack 發布的類似公告中，該公司表示，自11 月17 日起，漏洞利用鏈已在GitHub 上提供²，並加入到PHP Generic Gadget Chains ( PHPGGC ) 專案中。建議用戶手動檢查其網站以確保其更新到最新版本。

「如果您是開發人員，而您的任何專案包含對反序列化函數的函數調用，我們強烈建議您將其替換為其他內容，例如使用json_encode 和json_decode PHP 函數進行JSON 編碼/解碼，」Patchstack 首席技術官Dave Jong說。

引用參考：

1. https://dl.acm.org/doi/10.1145/2660267.2660363 ↩︎
2. https://github.com/ambionics/phpggc/tree/master/gadgetchains/WordPress/RCE ↩︎