นักวิจัยด้านความปลอดภัยจากประเทศฟินแลนด์ชื่อว่า Jouko Pynnönen ได้ค้นพบช่องโชว่ zero-day ของ WordPress เวอร์ชั่น 3.9.3, 4.1.1, 4.1.2 และ WordPress เวอร์ชั่นล่าสุด 4.2

Pastebin เว็บไซด์ที่ผู้ใช้งานสามารถแชร์ code หรือข้อมูลต่างๆ ระหว่างกัน แต่หลังจากเว็บนี้ได้ถูกใช้งานอย่างแพร่หลาย เว็บนี้จึงเป็นเป้าหมายในการโจมตีของแฮกเกอร์ และเมื่อไม่นานมานี้ นักวิจัยด้านความปลอดภัยได้พบว่าแฮกเกอร์ได้ใช้ Pastebin ในการฝังมัลแวร์เพื่อทำการ backdoor โดยการใช้ ช่องโหว่ plugin ของ WordPress ที่ชื่อว่า “RevSlider” ที่เป็นรุ่นเก่า ซึ่งโดยปกติแล้ว RevSlider นี้จะถูกรวมเข้าเป็นส่วนหนึ่งของ Theme ดังนั้นเของเว็บไซด์อาจจะไม่รู้ว่ามี plugin นี้ลงอยู่ หลักการโจมตีของแฮกเกอร์ คือ แฮกเกอร์จะสแกนหาเว็บไซด์ที่มี plugin นี้ และหลังจากพบเว็บไซด์เป้าหมาย แฮกเกอร์จะใช้ช่องโหว่ของ RevSlider ในการดาวโหลดมัลแวร์จาก Pastebin

พบผู้ที่ได้รับผลกระทบจากการโจมตีทางไซเบอร์เกินกว่า 100,000 ราย เมื่อมีรายงานว่า พบมัลแวร์ที่มีชื่อว่า “SoakSoak” จากรัสเซียได้ทำการแพร่กระจายตัวเองลงในเว็บไซต์ WordPress ของผู้ใช้เมื่อวันอาทิตย์ที่ผ่านมา ซึ่งส่งผลให้ Google ต้องเร่งทำการแบล็คลิสต์โดเมนที่ได้รับผลกระทบเหล่านั้นราว 11,000 รายเป็นการเร่งด่วน

นักวิจัยด้านความปลอดภัยได้ค้นพบไฟล์ backdoored ที่ชื่อว่า “CryptoPHP” จะแอบแฝงอยู่ในปลั๊กอินของธีมที่ใช้งาน content management systems (CMS) เช่น WordPress, Joomla และ Drupal

บริษัทความปลอดภัย Sucuri รายงานว่าพบช่องโหว่ร้ายแรงระดับ critical ในปลั๊กอิน Custom Contact Forms ซึ่งเป็นปลั๊กอินยอดนิยมอีกตัวหนึ่งของ WordPress ซึ่งช่องโหว่ที่พบจะใช้สิทธิแอดมินของ WordPress สั่งดึงข้อมูลทั้งหมดจากฐานข้อมูล (SQL dump) และอิมพอร์ตข้อมูลกลับเข้าไปใหม่ ผู้ประสงค์ร้ายอาจใช้จังหวะนี้แปลงข้อมูลใน SQL dump (เช่น เพิ่มผู้ใช้บัญชีใหม่) แล้วรอให้ปลั๊กอินดึงกลับเข้าไปในฐานข้อมูล เพื่อใช้ควบคุมเว็บไซต์หลังจากนั้น

ช่องโหว่ใหม่นี้ได้มีการรายงานครั้งแรกจาก Nir Goldshlager นักวิจัยด้านความปลอดภัยบน Salesforce.com ซึ่งเป็นช่องโหว่ด้าน XML มีผลกระทบ CMS ชื่อดังทั้งสองคือ WordPress และ Drupal ซึ่งรวมกันแล้วมีเว็บไซต์กว่าหลายล้านแห่งที่ตกอยู่ในความเสี่ยง