目前，黑客已经对超过90万个WordPress站点发起了大规模攻击。进后门。根据有效载荷，这些攻击似乎是由一名黑客发起的，该黑客在过去一个月内使用至少24,000个IP地址向超过900,000个站点发送恶意请求。4月28日之后，攻击尝试有所增加。WordPress安全公司Divisant在5月3日检测到针对超过50万个网站的2000万次攻击。Defiant高级质量保证官RamGall表示，攻击者专注于利用跨站点脚本(XSS)漏洞在插件中，虽然在数月或数年前已修复，但仍被未更新的黑客攻击。将访问者重定向到恶意网站是一种妥协方式。如果JavaScript由登录管理员的浏览器执行，代码将尝试在标头中插入PHP后门和另一个JavaScript。然后后门会抓取另一个有效负载并将其存储在主题的头文件中以尝试执行它。“这种方法允许攻击者保持对网站的控制。”这样一来，攻击者就可以切换到另一个有效负载，它可能是Webshel??l、创建恶意管理员的代码或删除整个网站内容的代码。今天的报告中包含最终有效载荷的妥协指标。提防旧漏洞Gall表示已检测到多个漏洞，但以下是最具针对性的漏洞。（请注意，这些易受攻击的插件要么已从官方存储库中删除，要么在去年或更早的时候收到了补丁。）Easy2Map插件中的XSS漏洞已于2019年8月从WordPress插件存储库中删除，我们估计利用该漏洞可能安装在少于3,000个站点上。这占所有攻击的一半以上。BlogDesigner中的XSS漏洞已于2019年修补。虽然此漏洞是之前活动的目标，但我们估计仍然存在不超过1,000个易受攻击的安装。WP-GDPR-Compliance中的一个选项更新漏洞已于2018年底修补，该漏洞允许攻击者除了更改其他选项外还可以更改网站的主要URL。这个插件有超过100,000个安装，我们估计剩下的易受攻击的安装不超过5,000个。TotalDonations中存在选项更新漏洞，攻击者可以利用该漏洞更改网站的主页URL。该插件已于2019年初从EnvatoMarketplace永久删除，我们估计总安装量不到1,000。Newspaper主题中的XSS漏洞在2016年被修复，这个漏洞在过去也被针对过。由此可见，WordPress插件漏洞的历史遗留问题确实存在，建议WordPress站点管理员及时更新自己的插件，删除不在WordPress仓库中的插件。
