骇客利用外挂漏洞，对近百万个WordPress网站发动大规模攻击

专门提供WordPress网站安全服务的Wordfence本周指出，他们在过去一个月看到同一个骇客集团，针对逾90万个WordPress网站发动攻击，企图将造访相关网站的使用者导至恶意广告网站。

根据Wordfence的观察，骇客主要开采插件的跨站指令码（Cross-Site Scripting，XSS）漏洞，而且锁定的都是一些名不见经传的插件，包括Easy2Map、Blog Designer、WP GDPR Compliance、Total Donations及Newspaper等，这些漏洞可能存在几个月或甚至长达数年之久。

研究人员是在4月28日发现大规模的攻击行动，那几天的攻击量是平常的30倍，而且光是在5月3日，骇客便针对超过50万个网站展开逾2千万次的攻击，近一个月来，有超过90万个网站遭到来自2.4万个IP地址的攻击。

骇客利用这些年代久远的XSS漏洞，在WordPress网站上植入恶意的JavaScript，以将网站的造访者引导到恶意广告网站。

为了避免成为攻击目标，Wordfence建议WordPress网站所有人应该采用最新的插件，而且删除或关闭那些已被WordPress外挂市集所移除的程式。