每當(dāng)新出一個漏洞時候，黑客就會抓緊時間，在茫茫的互聯(lián)網(wǎng)中找易受攻擊的網(wǎng)站，然后入侵該站點。

據(jù)研究人員介紹，他們發(fā)現(xiàn)Joomla最新的CVE-2015-8562漏洞（即Joomla的反序列化遠(yuǎn)程命令執(zhí)行漏洞）每天被發(fā)動16600次掃描攻擊，企圖破壞帶有該漏洞的網(wǎng)站。由此可見，該漏洞被網(wǎng)絡(luò)犯罪分子廣泛利用，也給互聯(lián)網(wǎng)造成了嚴(yán)重的經(jīng)濟(jì)損失。

Joomla的反序列漏洞，已經(jīng)在15年的12月14日發(fā)布的3.4.6版本中修復(fù)了該漏洞。該漏洞影響的版本特別多（從1.5版本到3.4版本），而且利用該漏洞可以完全的控制有該漏洞的網(wǎng)站，所以Joomla的開發(fā)人員一直在努力的發(fā)布新的更新版本和打相應(yīng)的安全補(bǔ)丁，幫助網(wǎng)站管理員，保護(hù)他們的網(wǎng)站對抗黑客的攻擊。

這個漏洞主要是在Joomla處理用戶代理字符串的方式不正確的結(jié)果。因為在大多數(shù)情況下，該字符串不適當(dāng)過濾以識別惡意字符串，這允許攻擊者引入可能在Joomla的后端惡意代碼被執(zhí)行。

通過Sucuri調(diào)查有助于更好地理解該漏洞，以及后來的Joomla的團(tuán)隊發(fā)現(xiàn)的問題是更深層次的本質(zhì)，是在PHP中的錯誤引起的部分。

該漏洞只存在于PHP的某些版本

問題是由于一個use-after-free漏洞的session deserializer。這是修復(fù)在2015年9月，php官方已經(jīng)修復(fù)了PHP 4.5.45，5.5.29，5.6.13該問題。 PHP7的新版本在默認(rèn)情況下正確處理這個問題。

據(jù)Joomla的團(tuán)隊介紹，Joomla網(wǎng)站只受該漏洞CVE-2015-8562是那些托管在PHP（CVE-2015-6835）的易受攻擊版本。 12月21日的Joomla的開發(fā)人員發(fā)布了3.4.7版本，以進(jìn)一步解決漏洞是因為php版本問題而易受攻擊的特性。