+++ in aggiornamento +++
Joomla 3.9 è ora disponibile
Joomla si aggiorna e arriva alla versione 3.9, disponibile per il download.
Tra le novità segnalate nel blog post introduttivo, segnaliamo la presenza di funzioni per gestire note ai post da backend, un nuovo motore di ricerca, nuove opzioni nei campi personalizzati, opzioni per il frontend e ulteriori opzioni per i siti multilingua.
Ma la novità più rilevante è la Privacy Tool Suite che, tramite la possibilità del controllo e della gestione dei dati degli utenti (inclusa la gestione del consenso privacy policy e ToS tramite popup), allinea il CMS al GDPR.
È disponibile anche la versione 3.9.1 di Joomla, che è una Security Release e contiene diversi miglioramenti di funzionalità, tra cui la nuova versione dell’editor TinyMCE, e sistema problemi di sicurezza.
Rilasciato WordPress 5.0
È disponibile la nuova versione WordPress: la 5.0.
La novità principale è rappresentata da Gutenberg, un editor visuale a blocchi per la costruzione del sito che potrà aiutare sia neofiti a realizzare un sito senza conoscenze specifiche, sia professionisti a velocizzare il loro lavoro.
Il post di annuncio della nuova versione è disponibile a questo indirizzo, mentre in questo post sono presenti i link alle varie beta che si sono succedute prima dell’attuale versione, contenenti le varie note di rilascio.
Nel momento in cui scriviamo, viene rilasciato WordPress 5.1, che è una security release.
Botnet di siti WordPress infetti attacca siti WordPress
I ricercatori Wordfence hanno pubblicato un post sul loro blog ufficiale in cui rendono nota la scoperta di una botnet composta da circa 20.000 siti WordPress compromessi.
L'attacco sfrutta il protocollo XML-RPC che consente di autenticarsi e pubblicare post da remoto utilizzando API specifiche, e il cui file principale, xmlrpc.php, è direttamente nella root del sito; sfortunatamente non implementa un metodo che limiti il tentativo di login e lanci degli alert, sicché un attaccante può fare tentativi brute-force passando sostanzialmente inosservato.
Una volta autenticato, l'attaccante prende possesso dell'installazione; la botnet in questione si occupava di reclutare siti zombie, quindi ciascun sito infetto comunicava con il server C2 (Command & Control) di riferimento per ricevere istruzioni e diventare a sua volta attaccante, cercando di infettare altri siti.
Come metodo di prevenzione si consiglia di utilizzare plugin che limitano i tentativi di login e di disabilitare il protocollo XML-RPC se non strettamente necessario.