原标题：WordPress释出安全更新，修复可从外部删除档案的程式码执行漏洞
资安公司Ripstech在7个月前向WordPress资安团队回报，一个允许外部删除档案的程式码执行漏洞，但WordPress却音讯全无，即使在5月中推出的4.9.6版本，也不见修补该漏洞，Ripstech于是在6月26日怒公开该漏洞细节，WordPress只好在7月5日紧急释出了4.9.7安全维护版本，并且强烈建议用户，凡使用3.7到4.9.6版本的WordPress都应马上更新。
骇客要使用这个任意程式码执行漏洞，需要先取得编辑以及删除媒体的权限，Ripstech提到，只要能获得操作权限提升就能使用该漏洞，所以骇客可以接手像是作者这类低权限的帐户，或是通过其他漏洞以及错误设定来获得进一步的档案编辑权限。这个漏洞的严重性在于，骇客能够移除任何WordPress的安装档案，包括允许让骇客抹除整个WordPress安装，而当网站没有适当的备份，将可能造成不可恢复的灾难性后果。
骇客能够利用任意删除档案的能力，规避一些安全性措施，进一步在网页伺服器上执行任意程式码。Ripstech列出可被删除的档案。第一种是.htaccess档，这类档案被删除后，通常不会有任何安全性的后果，但是在某些情况下，.htaccess可能内含一些诸如资料夹存取等安全性相关的限制，.htaccess被移除也就停用了这些安全性限制。
另外，网站通常会摆上一个空的index.php档案，以防网页伺服器会在使用者存取该页面时，列出网站资料夹，而移除index.php档案则会暴露网站的结构。不过，最严重的还是wp-config.php被删除，除了wp-config.php内含资料库凭据外，缺少这个档案，WordPress会以为程式尚未安装，骇客只要删除该档案后，便可以替管理员帐户更换安装程序的凭证，在WordPress重新启动安装程序后，便能在伺服器上执行任意程式码。
Ripstech认为，目前最热门的CMS非WordPress莫属，依照网页科技调查网站W3Techs的统计，约有三分之一的网站使用WordPress，这也表示这些用户很容易成为骇客的目标，但这个任意程式码执行漏洞在第一次提报给WordPress安全团队，历经7个多月仍然没有任何具体的修补计划，于是决定将其公开。
而在Ripstech发现删除档案程式码执行漏洞后，另一家资安公司Wordfence也发现了一个类似的漏洞，该漏洞发生在媒体上传器的附件上传AJAX动作，骇客通过WordPress处理档案的漏洞，也能达到删除wp-config.php档案的目的，使WordPress重新启动安装程序，提供骇客执行任意程式码的机会。
就在Ripstech公开漏洞细节后，WordPress在7月5日紧急释出了安全维护更新4.9.7版本，除了修补上述两个严重漏洞外，也一并修复了另外10几项错误，官方表示，这版本是一个安全维护更新，只要网站使用3.7以上的所有版本，都强烈立刻更新到WordPress△4.9.7。
相关：
Nutanix AOS 5.8版释出，内建金钥管理以强化资料安全
图片来源: Nutanix 以超融合架构打响名号的Nutanix，在近期也推出许多新解决方案，因应当今企业采多云架构的潮流，像是在5月时释出的多云管理SaaS工具Nutanix△Beam，利用Nutanix企业云OS（Nutanix△Enterprise△Clo
研究人员在一份文件中发现恶意巨集程式。 图片来源: 趋势科技 趋势科技研究人员发现一只巨集病毒会感染、并绑架受害电脑的特定桌面捷径，用以下载后门程式。趋势科技研究人员是在一封包含图片档的俄文文件发现这只
示意图，与新闻事件无关。 微软于本周更新了Windows△10内建的邮件程式（Mail△app），新增手绘、注解与墨水效果，该更新现在仍为测试版，预计于未来几周部署至一般Windows用户。仍在测试中的邮件程式现阶段只适用
英国健保系统因为程式错误编码资料，意外泄漏15万名病患的机密医疗资料
医疗软件开发商TPP(The△Phoenix△Partnership）主动告知英国健康与社会照护资讯中心NHS△Digital，由于其系统设计存在缺陷，导致15万名病患的机密医疗资料，在违反意愿的情况下，被分享用于医疗研究上，TPP对这个从
浏览器扩充程式Stylish化身间谍程式，擅自搜集用户浏览历史纪录遭下架
示意图，与新闻事件无关。 图片来源: userstyles.org 一位软件工程师Robert△Heaton在近日警告，知名的浏览器扩充程式Stylish擅自纪录使用者的网页浏览历史纪录，并将它们传送至远端伺服器，而Google与Mozilla也在