今天上午 11:15 EDT,jQuery 基础设施团队收到了广泛的报告,并确认 jquery.com 遭到入侵。此次攻击旨在破坏我们的网站,并未像 RiskIQ 于 9 月 18 日报告的那样注入恶意软件。我们认为这些是可能利用了相同攻击媒介的独立事件。
我们一发现遭到入侵就立即关闭了网站,并清理了受感染的文件。我们正在采取措施重新保护我们的服务器,升级依赖项,并解决漏洞。
今天没有任何关于从我们任何网站分发恶意软件的报告,而且我们网站或 CDN 上的任何 jQuery 库代码今天或上周报道的攻击期间都没有受到影响或修改。一些混淆源于上周的攻击者创建了一个域名,试图欺骗用户认为它是官方的 jQuery CDN。请注意,从我们官方 CDN 托管的 jQuery 文件的官方域名为 code.jquery.com。
也有人担心使用 jquery.com 和我们其他 WordPress 网站的开发者和管理员的用户帐户在某种程度上受到此次攻击的威胁。但是,唯一拥有受这些攻击影响的 WordPress 网站用户帐户的人是 jQuery 团队成员;我们在任何受影响的网站上都没有任何针对任何类型的帐户的公开用户注册。
我们正在继续积极地处理和监控这种情况,并将随着我们了解更多信息而更新您。
更新
我们已将 https://jqueryjs.cn 迁移到仅运行我们信任的代码的新服务器,并继续密切监控情况。 – 2014 年 9 月 24 日下午 5:07 EDT 通过 Twitter