CVE-2016-9838： Joomla 2016 最新漏洞！

Joomla 最近釋出了 Joomla CMS 的3-6-5版本。最新版本能夠解決三個安全漏洞，其中一個漏洞 ---CVE-2016-9838，可使攻擊者直接操控安全性低的網站。

Joomla 已將此漏洞歸類為“高危漏洞”。

Joomla 的開發人員認為，攻擊者利用資料過濾的缺陷，下載並執行惡意程式碼，改變已存賬戶的資訊，包括改變使用者名稱，重置使用者密碼並改變使用者小組分配。一個熟練的程式設計師甚至可以利用這個漏洞，創造一個管理者賬戶和密碼。

昨日釋出的 Joomla 3.6.5，除了修復 CVE-2016-9838，還修復了另外兩個安全漏洞：shell 上傳漏洞和資訊披露漏洞。這兩個漏洞都被評為低危漏洞。與此同時，3.6.4版本還強化了 CMS 的原始碼，增加了一些其他的安全功能。

大規模掃描接踵而至

Joomla 在十月下旬釋出 3.6.4 版本後，攻擊者便開始掃描整個因特網來尋找有漏洞的網站。

那時，Sucuri 的創始人兼 CTO，Daniel Ci 便認為：“不到一週的時間，任何未升級 Joomla 的網站都極有可能被攻擊。”

漏洞在十月底被發現，並打包在 3.6.4 版本的Joomla 中，允許攻擊者註冊賬號，並將自己升級為管理員，這和打包在3.6.5 版本 Joomla 的漏洞相似。

2015 年 12 月，類似的漏洞利用曾經發生過。攻擊者，每天平均發起超過 16600 起攻擊，來對抗 Joomla 最新打包的 0day。

儘快升級！

漏洞 CVE-2016-9838，影響了過去 5 年所有 Joomla 的版本。也就是說，所有執行 Joomla 1.6.0 到 3-6-4 版本的網站都將受到影響。

攻擊者極有可能會將 CVE-2016-9838 當作武器，在使用者升級之前，攻擊儘可能多的網站。

使用 Joomla 的網站務必立刻升級 Joomla 到 3.6.5 的版本！

本文由 Cherie 編譯

原文出自 BLEEPINGCOMPUTER