พบข่องโหว่ร้ายแรงใน Core ของ WordPress 4.6 ทำให้สามารถถูกยึดเครื่องได้ง่ายดายโดยไม่จำเป็นต้องเข้าสู่ระบบแต่อย่างใด (Unauthentication) หากแต่เพียงเว็บไซด์ต้องสามารถเข้าถึงได้โดยไม่ใช้ domain name (Virtual Host) เท่านั้น

Dawid Golunski พบช่องโหว่ RCE ใน WordPress <= 4.6 โดยได้รับ CVE เป็น CVE-2016-10033 ช่องโหว่นี้เกิดจากในส่วนของการส่ง email ไปยัง user จะเป็นการดูจาก SERVER_NAME ที่ client ส่งมาให้ (ตัวอย่าง event ที่จะทำให้เกิดการส่ง email เช่น การ register user, การลืมรหัสผ่าน และอื่นๆ) ซึ่งช่องโหว่นี้จำเป็นต้องมี PHPMailer function ที่มีช่องโหว่ด้วย
โดยปกติค่า SERVER_NAME สามารถกำหนดได้ผ่าน HOST Header ทำให้หาก Hacker ส่ง request การลืมรหัสผ่านของ user admin ไปให้กับ Website เป้าหมาย แล้วกำหนด HOST Header เป็น domain ใดๆพร้อมกับการกำหนด comment ที่เป็น command เข้าไปต่อท้ายกับ domain เมื่อถูกส่งต่อไปทำงานด้วย PHPMailer function ที่มีช่องโหว่ก็จะทำให้เกิด Remote Code Execution ได้นั่นเอง

ตัวอย่างการ request
POST /wordpress/wp-login.

WordPress เว็บบล๊อกสำเร็จรูปสำหรับจัดการเนื้อหาของเว็บไซต์ ออกอัพเดทแพทช์เวอร์ชั่น 4.5.3 เพื่อแก้ไขช่องโหว่จำนวนหลายช่องโหว่ โดยช่องโหว่ที่พบสามารถโจมตีแบบ remote ได้อาจส่งผลให้แฮกเกอร์สามารถควบคุมเว็บไซต์ที่ติดตั้ง WordPress ได้อย่างสมบูรณ์ สำหรับการอัพเดทแก้ไขข้อบกพร่องล่าสุดนั้นเป็นช่องโหว่ bypass การ redirect ใน API Cross-site Scripting 2 ที่ ช่องโหว่เปิดเผยข้อมูลช่องโหว่ต่างๆ ในเวอร์ชั่นก่อนๆ ของเว็บไซต์ได้ ช่องโหว่ที่ทำให้ผู้ที่ไม่มีสิทธิ์สามารถลบโพสต่างๆ ในเว็บไซต์ได้ Denial of Service ในโปรโตคอล oEmbed ที่ใช้สำหรับแสดงรูปหรือวีดีโอเมื่อผู้ใช้ต้องการดูเนื้อหาจากเว็บอื่นๆ รวมไปถึงช่องโหว่ด้านความปลอดภัยของรหัสผ่าน จากการขโมย cookie ได้อีกด้วย เว็บไซต์ที่ใช้งาน WordPress ควรอัพเดทแพทช์เป็นเวอร์ชั่นล่าสุด 4.5.3 โดยเร็วที่สุด

ที่มา: securityaffairs

เมื่อวันที่ 4 มิถุนายนที่ผ่านมา Jouko Pynnönen นักวิจัยด้านความปลอดภัยจาก Klikki Oy ได้รายงานช่องโหว่ของ Uber ไปที่เว็บ HackerOne โดยให้รายละเอียดว่าในแต่ละโดเมนของ uber.

เมื่อวัน 4 มิถุนายนที่ผ่านมา เว็บไซต์ของ Acunetix Web Vulnerability Scanner (www.acunetix.com) โปรแกรมที่ใช้ในการสแกน/ตรวจสอบช่องโหว่ด้านความปลอดภัยของเว็บไซต์ชื่อดังยอดนิยม ถูกแฮกเว็บไซต์โดยแฮกเกอร์ชาวโครเอเชียและได้ทำการ deface เปลี่ยนหน้าเว็บไซต์ ส่งผลให้ในระยะเวลานั้นเว็บไซต์เข้าใช้งานไม่ได้ชั่วคราว

อย่างไรก็ตามมีการตรวจสอบเกิดขึ้นพบว่าเว็บไซต์ www.

เมื่อวันที่ 21 กุมภาพันธ์ที่ผ่านมา เว็บไซต์ Linux Mint หนึ่งใน Linux Distro ยอดนิยมได้ออกมาประกาศว่าเว็บไซต์ linuxmint.