TopsTip大概是从 6 月左右开始就持续被爆出 WordPress 的一些扩展找到了入侵。这里并不是指 WordPress 用户安装了插件后被入侵，而是 WP 插件的开发者账户被入侵，然后在插件中植入了代码，从而影响了 WordPress 安装了这些插件的用户。
黑客主要通过窃取 WordPress 开发者账户的用户凭证进行入侵。然后在直接在插件代码中植入恶意代码，所以很难被发现，当插件提示升级后，并不知道，此次更新是来自黑客入侵植入代码后版本。同时由于很多 WordPress 用户在安装插件后，会开启插件“自动更新”的选项，这样就导致大面积的网站在不知情下被植入了恶意代码。
Wordfence 是专门为 WordPress 提供安全服务的，从目前他们公布及我从其它渠道收集过来确认被植入恶意代码的插件有以下这些，我会持续关注该事件，并更新相关被植入恶意代码的 WordPress 插件。
以下是 Wordfence 公布的新发现的受感染插件：
- WP Server Health Stats (wp-server-stats): 1.7.6
修复版本: 1.7.8
10,000 安装量 - Ad Invalid Click Protector (AICP) (ad-invalid-click-protector): 1.2.9
修复版本: 1.2.10
30,000+ 安装量 - PowerPress Podcasting plugin by Blubrry (powerpress): 11.9.3 – 11.9.4
修复版本: 11.9.6
40,000+ 安装量 - Latest Infection – Seo Optimized Images (seo-optimized-images): 2.1.2
修复版本: 2.1.4
10,000+ 安装量 - Latest Infection – Pods – Custom Content Types and Fields (pods): 3.2.2
修复版本: 无需修复
100,000+ 安装量 - Latest Infection – Twenty20 Image Before-After (twenty20): 1.6.2, 1.6.3, 1.5.4
修复版本: 无需修复
20,000+ 安装量
第一批被发现嵌入恶意代码的插件:
- Social Warfare
- Blaze Widget
- Wrapper Link Element
- Contact Form 7 Multi-Step Addon
- Simply Show Hooks
如果你安装的插件中包含以上插件，那么尽快升级修复版，如果没有修复版本，可以考虑先停用/卸载或用其它扩展插件替代。
