Lỗi xuất phát từ tiến trình bình thường hóa tên các tập tin của những tập tin đính kèm (attachment) theo blog. Nó cho phép tin tặc ngụy trang một tập tin PHP thành một tập tin hình ảnh, ví dụ taptin-giamao.php.jpg và tải chúng lên (upload) mà không bị cản trở từ các thuật toán bảo vệ ngăn chặn tập tin nguy hiểm của Wordpress. Sau đó, tin tặc chỉ việc truy xuất đến tập tin giả mạo đã đưa lên website theo dạng (http://blog-dùng-wordpress/uploads/2009/11/taptin-giamao.php.jpg) từ trình duyệt web thì mã PHP sẽ được tự động thực thi từ máy chủ web.
Không phải tất cả cấu hình máy chủ web đều dễ dàng cho tin tặc thực thi mã tùy ý. Thông thường cấu hình tiêu chuẩn của máy chủ web Apache không cho phép thực thi mã ngay cả khi tập tin bị truy xuất đến, nó sẽ chỉ hiển thị một hình ảnh lỗi trên trình duyệt. Trừ khi phần "Options +MultiViews" đã được thiết lập lại trong tập tin .htaccess, rủi thay phần thiết lập mặc định trong các máy chủ web sử dụng cPanel và WebHost Manager (WHM) lại "dính" phải khuyết điểm này.
Wordpress là dịch vụ blog mã nguồn mở cho phép người dùng tải về, cài đặt lên máy chủ web để sử dụng và tùy biến theo ý muốn. Số lượng người dùng Wordpress rất lớn, không thua kém các bộ mã nguồn CMS như Drupal và Joomla!, trong đó số lượng website hay blog Việt sử dụng Wordpress cũng chiếm không nhỏ.
Người dùng đang sử dụng Wordpress phiên bản 2.8.5 cần nâng cấp lên bản 2.8.6 tại đây.
"Trái tim" Linux bị thủng lỗ bảo mật
Kernel hay còn gọi là trái tim của hệ điều hành Linux chứa một "lỗ thủng" về bảo mật có thể bị tin tặc khai thác chiếm quyền quản lý cấp cao của hệ thống.
Một lỗi trong kernel (nhân) của Linux có thể bị khai thác để truy xuất vào hệ thống với quyền quản trị cao nhất. Lỗ hổng bảo mật xuất phát từ pipe.c và có thể xuất hiện khi sử dụng các hàm pipe_read_open(), pipe_write_open() hay pipe_rdwr_open(). Lỗi nhanh chóng được khắc phục trong phiên bản Kernel 2.6.32 RC6.
Theo các chuyên gia, lỗi chỉ có thể bị khai thác khi chuỗi hệ thống mmap_min_addr của kernel được thiết lập là 0. Tuy vậy, các phiên bản Linux do Red Hat và Debian phát hành đều thiết lập giá trị mặc định là 0. Red Hat đã phát hành bản cập nhật để vá lỗi, còn Debian cung cấp các chỉ dẫn để khắc phục. "Thần dân" Ubuntu thoát nạn do chuỗi mmap_min_addr được thiết lập mặc định là 65535.
Phiên bản kernel 2.6.31 là một sự cải tiến đáng kể, nó chứa đựng nhiều tính năng mới như giúp hệ thống nhận diện và tương thích với chuẩn USB 3.0, bổ sung thêm nhiều driver phần cứng như Sound Blaster X-Fi, KMS (Kernel-Based Mode-Setting) hỗ trợ các chip Radeon, nâng cấp phiên bản cho file hệ thống Btrfs và Ext4, hỗ trợ thêm nhiều thiết bị mạng nhưng chưa hỗ trợ chuẩn kết nối mạng không dây Wi-Fi 802.11n.
Người dùng Linux nên tham khảo thông tin cập nhật từ phân hệ Linux đang sử dụng để cập nhật phiên bản Kernel mới nhất hoặc tải về các phiên bản kernel 2.6.31.6 (stable), kernel 2.6.32-RC7 (mainline).
THANH TRỰC