Luki w zabezpieczeniach wtyczek WordPress wzrosły ponad dwukrotnie w 2021 r
Co się stało? Luki w zabezpieczeniach wtyczek WordPress innych firm znacznie wzrosły w 2021 r., a wiele z nich nadal ma znane publiczne exploity. Firma zajmująca się cyberbezpieczeństwem Risk Based Security podała, że pod koniec ubiegłego roku zgłoszono 10 359 luk w zabezpieczeniach zewnętrznych wtyczek WordPress, z czego 2240 ujawniono w 2021 r. To wzrost o 142 procent w porównaniu z 2020 r., ale większym zmartwieniem jest fakt, że 77 procent wszystkich znanych luk w zabezpieczeniach wtyczek WordPress – czyli 7 993 z nich – ma znane publiczne exploity.
Bliższe przyjrzenie się ujawniło, że 7592 luk w zabezpieczeniach wtyczek WordPress można wykorzystać zdalnie, podczas gdy 4797 ma publiczny exploit, ale nie ma identyfikatora CVE. W przypadku organizacji, które polegają wyłącznie na CVE w celu ustalenia priorytetów w zakresie łagodzenia skutków, ta ostatnia oznacza, że ponad 60 procent luk w zabezpieczeniach z publicznym exploitem nie będzie nawet na ich radarze.
Inną kwestią, na którą zwrócił uwagę organizacja w przypadku zabezpieczeń opartych na ryzyku, jest skupienie się na krytyczności, a nie możliwości wykorzystania.
Firma zauważa, że wiele organizacji klasyfikuje luki w zabezpieczeniach z oceną istotności CVSS poniżej 7,0 jako nie mające wysokiego priorytetu i dlatego nie zajmuje się nimi od razu. To problem, biorąc pod uwagę, że średni wynik CVSS dla wszystkich luk w zabezpieczeniach wtyczek WordPress wynosi 5,5.
Risk Based Security i inni zaobserwowali, że złośliwi aktorzy faworyzują luki w zabezpieczeniach nie z wysokimi ocenami ważności, ale raczej takie, które można łatwo wykorzystać. Biorąc pod uwagę dane i obserwacje, być może rozsądne byłoby, aby niektóre organizacje ponownie rozważyły swoje protokoły zarządzania zagrożeniami.
Źródło obrazu: Justin Morgan