更新：WordPress 1.5.2 现在可用。
上周五发现 WordPress 为其 1.5.1.3 版本提供了安全更新，其中涉及 register_globals 设置。
他们在WordPress论坛中发布了更新的信息：
WordPress 版本 1.5.1.3 如果其运行的 Web 服务器的 PHP 配置中设置了 `register_globals = on`，则可远程攻击。已存在 Perl 和 PHP 代码，可自动攻击漏洞较多的 WordPress 1.5.1.3 站点，允许攻击者尝试在受害者账户上执行代码。
以下是一些建议的步骤，用于安全保障您的WP账户：
下载修订后的wp-settings.php文件。此修订版本包含特定代码，以阻止利用 register_globals 漏洞的攻击。
要使用修订后的wp-settings.php文件，请首先将您现有的 /wp-includes/wp-settings.php 文件备份，然后将新版本移至您网站的 /wp-includes/ 目录。
我们强烈建议采取多层次的安全措施。除了上述修复措施外，我们建议您禁用您的网站中的 register_globals。大多数用户可以编辑您的 .htaccess 文件，并将以下内容放在最顶端：php_flag register_globals off
如果您控制服务器，您可以编辑 php.ini 并禁用 register_globals。更改后需要重启 Web 服务器。
强烈建议大家更新他们的WordPress安装，如上述所示。我建议选择第一种和第二种选项。
致plogHost客户：尽管我们可以在所有服务器上关闭 register_globals，但许多需要 register_globals 为“开启”的应用程序可能会受到影响，并且可能无法正常运行。
Frequently Asked Questions
What security risk does WordPress version 1.5.1.3 have?
The vulnerability allows remote exploitation when the server’s PHP configuration has register_globals enabled, letting attackers attempt code execution on the victim’s account.
What is the recommended immediate fix for the 1.5.1.3 vulnerability?
The revised wp-settings.php file should be downloaded, a backup of the existing /wp-includes/wp-settings.php made, and then the new file transferred to the /wp-includes/ directory.
How can register_globals be disabled to prevent this exploit?
Adding php_flag register_globals off at the top of the .htaccess file or editing php.ini to turn off register_globals and restarting the web server are recommended methods.
You mean we have register_globals turned on at ploghost? It’s sad that other developers simply ignore safe programming practices to allow their apps to run with the register_globals directive set to off. It doesn’t really take much to code that way.
Another WP update? It’s nice to see the community responding swiftly. :)