安全研究人员警告说，目前主动攻击的目标是超过100万个可能存在漏洞的WordPress网站。WordFence的威胁情报团队在调查针对漏洞的攻击似乎“急剧上升”时发现了这次攻击，这些漏洞允许攻击者在易受攻击的站点上更新任意选项。
在调查这一趋势时，研究人员发现，在过去36小时内，他们的工具阻止了超过1370万次针对四个WordPress插件以及多个Epsilon框架主题的攻击。这些攻击来自16,000个不同的IP地址。总共有超过160万个站点成为目标。
研究人员说，这些插件——KiwiSocialShare、WordPressAutomatic和PinterestAutomatic，以及PublishPressCapabilities，都是未经身份验证的任意选项更新的目标。
这些插件中的漏洞最近得到了修补(有些是在2021年8月，有些是在2021年11月和12月)，因此研究人员得出结论，最近的补丁可能促使恶意行为者采取行动。毕竟，显然在12月8日之前，攻击者“很少”针对这些漏洞进行活动。
此外，骗子还针对各种Epsilon框架主题中的函数注入漏洞，因为他们试图更新任意选项。
更新易受攻击的版本
研究人员解释说，在大多数情况下，攻击者将users_can_register选项更新为启用并将default_role选项设置为“管理员”。这使他们能够在这些站点中的任何一个上注册管理员帐户并基本上接管它。
敦促那些使用任何上述插件的人立即将它们更新到最新版本。WordFence总结道：“只需更新插件和主题即可确保您的网站免受针对这些漏洞的任何攻击的危害。”
易于自动化的漏洞，例如这种未经身份验证的任意选项更新，或易受DDoS攻击，对于恶意行为者来说是天赐之物，这就是为什么建议用户尝试尽可能自动化网站漏洞扫描的原因。