黑客正利用WordPress Kirki插件缝隙劫持网站账户

颁布功夫 2026-06-03
1. 黑客正利用WordPress Kirki插件缝隙劫持网站账户


6月2日，近期，WordPress生态中宽泛使用的Kirki插件被曝出一个严重的权限提升缝隙（CVE-2026-8206），正遭到黑客的积极利用。。。该插件全称为“Kirki - Freeform Page Builder, Website Builder & Customizer”，是一款自由式可视化建站工具与高级主题定制器，装置在超过50万个网站上。。。安全公司Defiant通过其Wordfence防火墙检测到，在从前24小时内已拦截了222次针对其客户的现实攻击尝试。。。该缝隙影响插件6.0.0至6.0.6版本，凭据WordPress.org的下载统计，这些版本的使用率约占该插件用户总量的40%。。。缝隙本原在于插件通过handle_forgot_password()函数露出了一个用于密码重置的自界说REST API端点。。。问题主题是：该端点在处置密码重置要求时，会接受攻击者提供的肆意电子邮件地址。。。当攻击者提交一个已知的用户名（如治理员账户）时，插件会为该账户天生一个有效的密码重置链接，却将链接发送到攻击者指定的邮箱，而非账户所有人的原始注册邮箱。。。这一设计缺点使得未经身份验证的攻击者能够垂手可得地为网站上任何注册用户（蕴含治理员）获取密码重置链接，并发送到自己节制的邮箱中，从而齐全收受指标账户。。。插件开发商5月18日颁布了修复版本6.0.7。。。


https://www.bleepingcomputer.com/news/security/critical-kirki-flaw-exploited-to-hijack-wordpress-admin-accounts/


2. WeedHack借Minecraft模组习染超11.6万系统


6月2日，一场名为WeedHack的大规模恶意软件攻击活动正以Minecraft玩家为指标，自1月以来已习染超过116,000个系统。。。该恶意软件通过与Minecraft有关的恶意模组、客户端、舞弊法式和实用工具进行传布，这些法式通过YouTube视频和SEO投毒伎俩进行推广。。。WeedHack是一款恶意软件即服务（MaaS）信息窃取工具，为操控者提供了一个仪表板，用于查看被盗凭证和受习染系统的信息。。。网络安全公司McAfee的遥测数据显示，WeedHack已影响116,464个系统，均匀每天习染2,000至3,000台设备，大无数受害者位于美国、德国、印度和英国。。。这次攻击的规模�；；固宕丝坛�240个分发URL和3,820个怪异的恶意JAR文件上。。。攻击者重要通过两种方式散布恶意软件：一是在YouTube上颁布展示Minecraft有关工具的视频，并在描述和评论中植入下载链接，部门视频制作良好甚至配有旁白以加强真实感，累计旁观次数已超过7,500次；；；二是利用SEO投毒技术，针对Meteor Client、Wurst Client、LiquidBounce等热点Minecraft工具的关键词，将恶意网站推至搜索了局前列。。。很多这类合法项目本无官方网站，仅有GitHub页面，这给攻击者可乘之机。。。


https://www.bleepingcomputer.com/news/security/over-116-000-mincraft-systems-infected-in-weedhack-malware-campaign/


3. CISA将Oracle WebLogic高危缝隙列入已知利用目录


6月2日，美国网络安全和基础设施安全局（CISA）于周一将影响Oracle WebLogic Server的一个高危安全缝隙纳入其已知利用缝隙（KEV）目录，原因是该缝隙已被发现遭到积极利用。。。该缝隙编号为CVE-2024-21182，CVSS评分为7.5分，允许未经身份验证的攻击者通过网络接见权限直接节制易受攻击的服务器。。。Oracle已于2024年7月颁布了针对该缝隙的修复补丁，但时隔近两年，攻击活动仍在持续，促使CISA采取垂危行动。。。CISA在布告中指出，Oracle WebLogic存在一个未具体指明的缝隙，未经身份验证的攻击者能够通过T3、IIOP等网络和谈接见服务器，从而对Oracle WebLogic Server造成严重�：�。。。成功利用该缝隙可能导致未经授权接见关键数据，甚至齐全获取所有可通过该服务器接见的数据。。。目前尚无公开汇报具体注明该缝隙在现实攻击中是若何被利用的。。。然而，WebLogic Server此前的多个安全缺点曾屡次被各类威胁行为者利用，用于组建僵尸网络、挖掘加密钱币以及部署勒索软件，因而本次缝隙的现实风险不容忽视。。。


https://thehackernews.com/2026/06/oracle-weblogic-cve-2024-21182-added-to.html


4. 微软Exchange Online遭逢大规模邮件延长故障


6月2日，微软正在垂危处置一路影响北美、亚太地域和欧洲Exchange Online客户邮件流管道的普遍服务问题。。。该公司于美国东部功夫6月2日上午10:33初次确认该事务（跟踪编号为EX1331830），其时已起头调查社交媒体上大量用户提交的汇报。。。受影响的用户在发送或接见电子邮件时遇到严重延长或失败，部门用户看到一时SMTP延长谬误，提醒“每个资源林的最大并发衔接数已超过限度，正在关闭传输通道”，另一些用户则收到“衔接忽然关闭（可疑的远程服务器谬误）”的新闻。。。微软暗示，有些电子邮件超过一个小时仍未投递，工程师正在审查有关汇报以找出底子原因。。。该公司已将这次事务归类为“事务”，这一级别通常合用于对用户造成显著影响的关键服务问题。。。随着故障持续，微软不休扩大影响领域的评估。。。最初集中在北美和德国地域的汇报促使公司扩大调查，随后确认亚太地域和欧洲的用户同样受到波及。。。微软在治理中心服务警报中暗示，正在分析受影响地域的邮件队列积压情况，以进一步相识当前影响并找出潜在故障点。。。截至目前，该公司已扩大沟通领域以覆盖所有可能受影响的用户，但尚未颁布齐全复原的功夫表。。。


https://www.bleepingcomputer.com/news/microsoft/microsoft-exchange-online-outage-causes-email-delays-failures/


5. 黑客利用Meta AI客服成功劫持Instagram账户


6月2日，多名Instagram用户近日遭逢账户被盗，攻击者采取了一种新鲜而单一的伎俩，成功说服了Meta的人为智能支持工具，使其相信自己就是合法的账户所有者。。。受影响的用户中蕴含曾属于奥巴马白宫团队的旧账号、利用钻研员Jane Manchun Wong的账户，以及@hey和@korn等罕见高价值账户。。。更令人忧郁的是，很多受害者无法复原接见权限，由于Meta平台仅依赖自动化AI或谈天机械人提供协助，险些没有人为支持人员染指。。。账户劫持过程并不复杂。。。攻击者首先利用“健忘密码”职能，触发Instagram的AI助手要求用户上传自拍视频进行身份验证。。。此时，攻击者从指标账户中获取公开照片，通过AI视频天生器将其制作成动态视频，而后上传给Meta的系统。。。由于Meta的AI无法有效分辨真实自拍与人为智能天生的伪造面部视频，验证便顺利通过。。。验证通过后，攻击者能够更改账户关联的电子邮件地址。。。随后，他们再次提议密码重置流程，安全代码便会发送到攻击者节制的邮箱中，从而彻底收受账户。。。部门攻击者还会使用VPN假装成指标用户常用的地理地位，以触发更复杂的登录流程并加强糊弄性。。。

https://www.bleepingcomputer.com/news/security/instagram-users-locked-out-after-meta-ai-abused-to-steal-accounts/


6. Grindr用户数据遭窃，论坛标价400美元销售


6月2日，据称蕴含大量Grindr用户小我信息的数据集近日呈此刻网络犯罪论坛上，攻击者宣称已窃取大量敏感数据并正挂牌销售。。。网络新闻钻研人员已审查了攻击者分享的18条样本纪录，确认泄露信息蕴含：全名、诞生日期、用户名、bcrypt密码哈希、经SHA256哈希处置的电话号码、具体的小我资料描述、地理地位数据、账户功夫戳以及设备信息。。。样本中的部门功夫戳极度新近，最新条款可追忆至2026年5月，批注该数据集可能并非纯正的汗青数据，可能蕴含正在更新或最近天生的纪录。。。钻研人员还把稳到，样本中的大无数电子邮件地址似乎有效，且没有迹象显示类似数据集已在其他处所宽泛传布。。。攻击者并未泄漏数据集中蕴含的纪录总数，但该数据集的标价仅为约400美元。。。钻研人员以为，这一相对较低的价值可能暗示数据集规模较小或领域较窄，而非大规模数据泄露。。。数据可能起源于已被盗用的账户，或从处置Grindr数据的第三方服务商处获取。。。密码哈希值的存在显著增长了泄露事务的风险，攻击者可通过离线破解尝试还原密码，提议撞库攻击。。。


https://cybernews.com/security/grindr-user-data-leak-claims/