Các tác nhân đe dọa đang lạm dụng các plugin đoạn mã ít được biết đến hơn cho WordPress để chèn mã PHP độc hại vào các trang web có khả năng thu thập dữ liệu thẻ tín dụng.

Lợi dụng lỗ hổng CVE-2024-27956 (có điểm 9,9) trong plugin WP Automatic của WordPress, tin tặc có thể tấn công hơn 30.000 trang web bằng cách tạo tài khoản người dùng với đặc quyền quản trị và cài đặt backdoor để truy cập lâu dài.

Một plugin thương mại dành cho WordPress có tên LayerSlider, đang được sử dụng trong hơn một triệu trang web tồn tại lỗ hổng SQL injection mà không yêu cầu người dùng xác thực.

Một chiến dịch phần mềm độc hại trên quy mô lớn có tên Sign1 đã xâm phạm hơn 39.000 trang web WordPress trong 6 tháng qua, sử dụng cách thức chèn mã JavaScript độc hại để chuyển hướng người dùng đến các trang web lừa đảo.

Hãng lưu trữ web GoDaddy thông báo về một sự cố lộ lọt dữ liệu của hãng dẫn đến việc thông tin của 1,2 triệu khách hàng gồm cả hoạt động và không hoạt động bị truy cập trái phép.

Bản tin video An toàn thông tin số 36 - Tháng 5/2020 gồm các tin sau: Cảnh báo nguy cơ mất an toàn, an ninh mạng trong lĩnh vực y tế; 15 triệu khách hàng Tokopedia bị rò rỉ thông tin; Phát hiện lỗ hổng bảo mật trên giao thức không dây Bluetooth; Gần 1 triệu website WordPress trở thành mục tiêu của tin tặc; Facebook thâu tóm trang tạo ảnh GIF lớn nhất thế giới; Cập nhật bản vá lỗ hổng bảo mật tháng 5/2020.

Theo thông tin từ ESET, một tác nhân độc hại chưa được xác định đang tiến hành khai thác lỗ hổng trong các plugin đã được vá vài tháng, hoặc thậm chí vài năm trước trên nền tảng WordPress trong thời gian gần đây.

Vượt qua cơ chế bảo vệ của Wordfence (tường lửa của WordPress), các tin tặc có thể thực hiện tấn công thay đổi giao diện, chuyển hướng truy cập tới website độc hại nhằm mục tiêu lừa đảo người dùng.

Một lỗ hổng trên WordPress vừa được công bố, cho phép tin tặc xóa tập tin và thực thi mã tùy ý trên website.

Ngày 14/12/2014, thông tin về một chiến dịch chống lại WordPress được lan truyền trong khắp cộng đồng mạng khi phát hiện hơn 11.000 tên miền website sử dụng nền tảng WordPress nằm trong danh sách đen của cỗ máy tìm kiếm Google.