Wordpressblog hacket for 2 gang. -

Patrick - Meebox:

Det er nemlig et sikkerhedshul i WordPress der gør at hackerne kan uploade scripts, de kan bruge til at deface sider/ændre indholdet af filer.

Du kunne jo således tilbyde at dine kunder kan slå PHP upload fra og ellers holde systemerne opdateret med f.eks den nyeste PHP version, er det korrekt at jeres servere kører med php 5.3.6 fra marts 2011?

John Nielsen:

Der er ikke opdateret til den seneste stabile version på det hotel, jeg lige tjekkede. :)

Men det er jeg da sikker på, at Meebox snart får opdateret.

De har jo om nogen en indlysende interesse i at holde "motoren" opdateret.

Dbh. John 

@Patrick, det er fx. denne jeg mener.

Thomas Bang Petersen:

Patrick - Meebox:

Det forstår jeg godt. Men det er sikkerheden i WordPress der virkelig skal gøre dig nervøs. Det er nemlig et sikkerhedshul i WordPress der gør at hackerne kan uploade scripts, de kan bruge til at deface sider/ændre indholdet af filer.

Er det generelt Wordpress, eller blot ældre versioner?

MVH

Thomas

Alt tyder desværre på, at det er WordPress generelt - uanset version. Vi kommer selvfølgelig med en længere analyse og konklusion, så snart vi har fundet en løsning på hvordan vi forhindre angrebet. Det er lige på trapperne!

Boysen:

@Patrick, det er fx. denne jeg mener.

kommer du nok til at vente lidt på :-)

Patrick - Meebox:

Alt tyder desværre på, at det er WordPress generelt - uanset version. Vi kommer selvfølgelig med en længere analyse og konklusion, så snart vi har fundet en løsning på hvordan vi forhindre angrebet. Det er lige på trapperne!

Det vel lidt ligesom virus, at dem der laver det jo i sagens natur er et skridt foran dem, som laver antivirus-software. Har læst om eksempler, hvor det er hele serveren, der er angrebet - og hvis det kun kræver et enkelt hul i en enkelt WP installation, så vil det jo generelt være usikkert at hoste sine sider, uanset hvilken host man vælger, da mange andre brugere så har indflydelse på den totale sikkerhed.

Er det ikke muligt at isolere hvert domæne/hotel så man ikke kan gå længere end dertil?

MVH

Thomas

Patrick - Meebox:

Vi kører med 5.3.14 som er seneste stable og supported, og som havde release 14. juni 2012. Vi har helt bevidst ikke opdateret til 5.4.4, da 5.4 fortsat er experimental.

Du kunne jo lave det som en on/off så kunderne selv kan styre det. Kan vi hos vores udbyder, slipper du for en masse problemer.

5.4 er bestemt ikke eksperimental, den er i release (5.4.4) og har været det længe.

Søren.Pedersen:

Du kunne jo lave det som en on/off så kunderne selv kan styre det. Kan vi hos vores udbyder, slipper du for en masse problemer.

Det hjælper jo ikke, hvis der kun skal en enkelt bruger til at lukke uønskede gæster ind på serveren. Så kan din egen sikkerhed være i top, men det hjælper ikke noget, hvis ubudne gæster får adgang til root.

MVH

Thomas