虽然WordPress应用程序拥有十分强大的安全性，但长久以来许多插件程序一直充满各种可能导致访问页面的用户被重导向到恶意网站的安全漏洞。据报道，恶意攻击者利用30种不同WordPress插件程序的未修补漏洞，让数百甚至上千个网站感染恶意软件，进而对所有上门的用户发动网络钓鱼、广告诈骗等攻击，其中有些网站甚至已被感染许多年。
安全公司Dr.Web研究人员表示，像这类Linux恶意软件会从远程服务器将恶意JavaScript后门下载植入到目标网站，一旦有用户访问该网站并加载受感染页面时，JavaScript后门就会被启动，这时用户不论点取受感染页面任何部分，就会被重定向到恶意网站。该恶意软件还能故意关闭事件日志记录，进入待机模式，并自行关闭，以规避企业安全机制的侦测。原先估计已有超过1,300个网站被发现存在JavaScript后门，但经过最新一次扫描后，其中一些网站已删除恶意程序代码，但该恶意软件影响的范围还是很大。
遭恶意利用的WordPress插件程序一览表。（Source：科技新报）
JavaScript后门连接的常见恶意域名如下：
lobbydesires“.”com
letsmakeparty3“.”ga
deliverygoodstrategies“.”com
gabriellalovecats“.”com
css“.”digestcolect“.”com
clon“.”collectfasttracks“.”com
Count“.”trackstatisticsss“.”com
目前研究人员发现了两个版本且已使用三年的后门程序：Linux.BackDoor.WordPressExploit.1及Linux.BackDoor.WordPressExploit.2。总而言之，网站管理人员除了确保WordPress主程序更新至最新版本之外，任何插件程序也应比照办理（尤以前文枚举“遭恶意利用的WordPress插件程序一览表”中的插件程序为然）。
（首图来源：科技新报）