Начиная с 2015 года компания сPanel готовится к завершению поддержки темы оформления х3. И на текущий момент тема х3 более не поставляется в новых установках панели WHM/cPanel, для новосозданных аккаунтов темой по умолчанию установлена тема paper_lattern.

Со следующего обновления (начиная с версии 64) панели данная тема будет полностью удалена с серверов в автоматическом режиме и будет более недоступна для использования.

Начиная с версии 60 техническая поддержка темы х3 более не осуществляется, потому могут возникать в работе cPanel и сайтов на аккаунтах, для которых эта тема используется

В связи с этим мы также отказались от использования х3 и переключили все аккаунты общего хостинга (на тарифах Linux и PROLinux) на новую тему paper_lattern не дожидаясь, пока х3 будет автоматически удалена.

Если вам сложно ориентироваться в новой теме paper_lattern, то в ней можно переключиться на стиль retro, который очень похож на старую тему x3

Как стало известно, в SSLv3 обнаружена вероятность Padding Oracle атаки, которая позволяет злоумышленнику, имеющему возможность отправлять свои данные на сервер по SSLv3 от имени жертвы, расшифровывать по 1 байту за 256 запросов.

Причиной уязвимости является то, что в SSLv3 padding не учитывается MAC.

Атака может быть реализована на любой сервис, где злоумышленник может влиять на отправные данные. Самый простой вариант - если злоумышленнику необходимо получить Cookie на HTTPS-странице, добавляя свой код на HTTP-страницы, который делает подконтрольные запросы на HTTPS-страницы, и подменяя шифрованные блоки.

Чтобы совершить атаку, злоумышленнику необходимо иметь возможность во-первых, прослушивать и подменять трафик атакуемого, а во-вторых, совершать запросы от имени атакуемого с известным атакующему текстом.

Чтобы избежать атаки от этой уязвимости, рекумендуем отключить SSLv3 полностью.

Воспользуйтесь следующими рекомендациями защиты, если у вас:

Firefox (<34): нужно или установить SSL Version Control, или выполнить следующее изменение в конфигурации:

 about:config → security.tls.version.min=1

Firefox (>34): SSLv3 уже отключен

Chrome: добавьте в качестве ключа запуска:

 --ssl-version-min=tls1

Internet Explorer: уберите галочку с «SSLv3» в настройках безопасности.

nginx:

 ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Apache:

 SSLProtocol All -SSLv2 -SSLv3

IIS: https://www.digicert.com/ssl-support/iis-disabling-ssl-v3.htm

В связи с тем, что была обнаружена уязвимость в пакете OpenSSL (CVE-2014-0160), более детально об уязвимости можно прочитать тут http://heartbleed.com/.

Вам необходимо:

• Удостовериться установлен ли на Вашем сервере обновленный пакет, закрывающий уязвимость;
• Выполнить перезагрузку всех сервисов, что используют этот пакет (HTTP, SMTP и т. д.) или же перезагрузить полностью сервер.

Дистрибутивы операционных систем с уязвимой версией OpenSSL:

• Debian Wheezy (стабильная), OpenSSL 1.0.1e-2+deb7u4)
• Ubuntu 12.04.4 LTS, (OpenSSL 1.0.1-4ubuntu5.11)
• CentOS 6.5, (OpenSSL 1.0.1e-15)
• Fedora 18, (OpenSSL 1.0.1e-4)

Проверить установлен ли обновленный пакет с патчем для Centos можно так:

# rpm -q --changelog openssl-1.0.1e | grep -B 1 CVE-2014-0160
* Mon Apr 07 2014 Tomáš Mráz <tmraz@redhat.com> 1.0.1e-16.7
- fix CVE-2014-0160 - information disclosure in TLS heartbeat extension

Проверить установлен ли пакет с патчем для Ubuntu можно так:

# aptitude changelog openssl | grep -B 1 CVE-2014-0160
* SECURITY UPDATE: memory disclosure in TLS heartbeat extension
- debian/patches/CVE-2014-0160.patch: use correct lengths in
ssl/d1_both.c, ssl/t1_lib.c.
- CVE-2014-0160

В случае если пакет оказался не обновлен, тогда выполняем обновление в ручном режиме.
Centos:
# yum update openssl

Ubuntu:
# apt-get update
# apt-get upgrade openssl

Скрипт показывает процессы сервисов, которые необходимо перезапустить:

ps uwwp $(find /proc -maxdepth 2 -name maps -exec grep -HE '/libssl\.so.* \(deleted\)' {} \; | cut -d/ -f3 | sort -u)

или

lsof -n | grep -iE 'del.*(libssl\.so|libcrypto\.so)'

Добрый день!

Для владельцев сайтов CMS Joomla и WordPress!
Хотим предупредить Вас о том, что в данный момент мы столкнулись с попытками взлома сайтов на CMS Joomla и WordPress злоумышленниками путем массового подбора паролей к административным панелям сайтов. Со своей стороны мы прилагаем все усилия, чтобы предотвратить взлом сайтов. 
В случае, если вход в Вашу админ-панель заблокирован, – обратитесь за помощью в техническую поддержку. 
Если же Вы можете войти в панель, как можно скорее примите необходимые меры для защиты своих сайтов от взлома.

Подробные инструкции о защите сайта от взлома – WordPress, Joomla.
http://habrahabr.ru/post/62814/
http://web-master4ree.com/joomla/840-zashhita-sajta-na-joomla-ot-vzloma.html

Входящая во многие wordpress темы утилита для изменения размера изображений timthumb.php, уязвима к загрузке произвольного PHP-кода.

В конфиге скрипта лежат несколько доменов (flickr.com, picasa.com, blogger.com, wordpress.com, img.youtube.com, upload.wikimedia.org, photobucket.com) с которого ему разрешено загружать изображения.

Из-за недостаточной проверки передаваемых параметров существует возможность загрузить веб-шелл на сервер используя список доверенных доменов для создания поддоменов с такими же названиями. Т.е. timthumb.php считает ссылку blogger.com.hackersite.com/webshell.php легитимной и позволяет загрузить скрипт на сервер.

Мы рекомендуем всем пользователям которые использует Wordpress для своих сайтов проверить наличие данного файла в темах, и заменить его на пропатченный timthumb.php

@habr