Các phiên bản WordPress và Drupal cũ công ty luật Mossack Fonseca sử dụng có thể là nguồn cơn bùng nổ vụ scandal tài liệu Panama. Lỗ hổng bảo mật nguy hiểm WordPress và Drupal đã được cảnh báo từ năm 2014.
Theo WordPress Tavern, domain Mossack Fonseca có một website sử dụng nền tảng WordPress phiên bản 4.1 phát hành trong tháng 12/2014. Trang chính của nó cũng chứa một số scripts và plugins lạc hậu.
File changelog.txt file của cổng thông tin khách hàng Mossack Fonseca công khai, cho thấy cài đặt Drupal của trang đã 3 năm không được cập nhật.
Còn trang Wired UK đưa tin kể từ khi phát hành Drupal 7.23 – phiên bản website công ty luật Mossack Fonseca sử dụng – phần mềm này đã nhận được 25 cập nhật bảo mật. Điều đó có nghĩa phiên bản mà Mossack Fonseca dùng đang chạy có cả những lỗ hổng cực kỳ nghiêm trọng có thể đã bị hacker khai thác để truy cập vào máy chủ.
Tạp chí Wired cũng phát hiện Mossack Fonseca sử dụng phần mềm email Outlook Web Access của Microsoft phiên bản năm 2009 mà không có bất kỳ biện pháp mã hoá nào. Một nguồn tin nặc danh được Wired trích dẫn cho biết máy chủ đã không được đồng bộ theo tiêu chuẩn thực hành tốt nhất.
Lỗi bảo mật XML có thể ảnh hưởng đến các nền tảng web phổ biến như WordPress và Drupal đã được cảnh báo công khai từ tháng 8/2014. Lỗ hổng này sử dụng phương thức tấn công XML Quadratic Blowup Attack nổi tiếng, khi thực hiện nó có thể đánh sập gần như ngay lập tức toàn bộ trang web và máy chủ.
Sau vụ rò rỉ tài liệu Panama bùng nổ, các nhà nghiên cứu bảo mật tiếp tục điều tra và phát hiện những lỗ hổng mới trong hệ thống của Mossack Fonseca.
Theo Register, ngày 11/4, một “nhà nghiên cứu underground” tuyên bố phát hiện một lỗ hổng SQL injection trên một hệ thống doanh nghiệp của Mossack Fonseca. Người này công khai trên Twitter rằng hãng luật đã cập nhật CMS payment mới nhưng quên khoá “directory /onion/”.
Thegioibantin.com
Kim Ánh, vnreview