改Joomla曝高危0Day漏洞无需用户登

一方面，Joomla是全球排名前三的内容管理系统(CMS)，仅次于WordPress之后，占据了大约10%的全球市场份额。相比WordPress，因为有丰富的模板系统、表现力强，还支持各种个性化定制，Joomla在全球有大量的铁杆粉丝。比如，全球知名的电子商务服务商ebay，欧洲第三大汽车公司标志，都是Joomla的客户。

另一方面，Joomla漏洞在官方发布升级版和补丁之前，已经在各种地下黑色产业链中流传了一段时间，并且已经有不少站被黑客拿下。现在看来，在这段时间中，全球有多少站、多少用户的信息和账户安全受到威胁，损失的严重性恐怕一时间还难以全部统计清楚。虽然现在官方已经发布了最新版本和修复补丁，不过鉴于漏洞的修复有一个收敛的过程，所以漏洞的风险必然还会再持续相当一段时间。

百度安全实验室在第一时间对漏洞进行了跟进和分析，发现这类0Day漏洞的危害极大：一是不需要用户登陆就可以触发，二是漏洞跨越的版本时间非常长，目前尚不能确定漏洞发现的时间，三是常规的关键词代码审计，并不能很好地发现此类漏洞。这就意味着，站的风险级别直接大幅上升了。

在中国，虽然使用Joomla的站并不是很多，但是经过检测，百度云安全的泰坦团队发现，在中国的备案站中，有超过1100个域名可能受到Joomla漏洞影响。这其中，企业和个人站长是受害的重灾区，超过530个企业的站存在漏洞利用的风险，而个人站长、事业单位、政府机关和社会团体的站也有不少受到了影响。

(图注：在受Joomla 0Day漏洞影响的站中，78%是各种类型的企业站 数据来源：百度云安全泰坦团队)

鉴于漏洞的影响面广、危害严重，并且漏洞很容易被触发，所以百度云安全在第一时间启动了0Day防御计划。目前，百度云加速、百度安全宝都已经针对所有漏洞利用方式增加了防御规则，能够对用户的站进行防护。安全专家建议，用户应尽快升级官方补丁，或者升级到最新版本的Joomla。

关注ITBear科技资讯公众号（itbear365 ），每天推送你感兴趣的科技内容。

特别提醒：本内容转载自其他媒体，目的在于传递更多信息，并不代表本赞同其观点。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，并请自行核实相关内容。本站不承担此类作品侵权行为的直接及连带。如若本有任何内容侵犯您的权益，请及时联系我们，本站将会在24小时内处理完毕。