La începutul acestui an WordPress 4.7.2 a fost lansat, iar administratorii site-urilor care rulează versiuni self-hosted ale foartei populare platforme de CMS și blogging au fost sfătuiți să-și actualizeze sistemele în regim de urgență.

Nu am știut la acel moment cât de importantă este actualizarea WordPress.

WordPress a dezvăluit ulterior că 4.7.2 a inclus în secret un patch pentru o vulnerabilitate critică care nu trebuia divulgată.

În cazul că nu era folosit un patch, vulnerabilitatea putea permite unui atacator rău intenționat să modifice conținutul oricărui post sau pagini de pe un site WordPress.

Motivul pentru care vulnerabilitatea nu a fost făcută publică la momentul lansării WordPress 4.7.2 a fost teama că hackerii și-ar putea dori să exploateze vulnerabilitatea, atacând milioane de bloguri și site-uri de companii.

Cercetătorii de securitate și companiile importante de hosting WordPress au implementat patch-ul înaintea de a dezvălui public vulnerabilitatea, cu scopul de a atenua riscul atacurilor  – bazându-se pe faptul că multe site-uri WordPress sunt configurate să se actualizeze în mod automat sau oferă actualizări simple, one-click.

Totuși lucrurile nu sunt atât de simple pe cât par. Dovezile au dezvălui că hackerii nu au avut nevoie de mult timp pentru a acționa după ce au aflat informații despre vulnerabilitate, cercetătorii raportând că multe exploit-urile publice au fost distribuite și postate online în doar 48 de ore.

Cercetătorii de la Sucuri au detaliat o serie de campanii de atac reușit pe care le-au observat, inclusiv una care a publicat cuvintele "by w4l3XzY3" către un număr mare de site-uri web vulnerabile.

Conform rezultatelor din căutările Google, aproximativ 100.000 de pagini web au suferit de acest tip de discreditare.

Sunt foarte multe șanse să existe bande de spam SEO, dornice să exploateze aceast tip de vulnerabilitate într-o încercare de a se amesteca cu rezultatele căutării Google pentru propriul lor beneficiu financiar.

Dacă dețineți un site WordPress, trebuie să luați în serios securitatea. Asta înseamnă că, printre altele, trebuie să vă asigurați că este utilzată cea mai recentă versiune a software-ului și să fiți atenți la cele mai recente alerte de securitate.

Chiar dacă nu se pot instala automat update-uri WordPress pe site-ul dvs. ar trebui să construiți o infrastructură care să vă permite să testați noi versiuni de WordPress în condiții de siguranță pentru a garanta că site-ul live este actualizat în timp util.

Dacă nu faceți acest lucru, vă expuneți riscului, iar atacatorii ar putea să exploateze o breșă de securitate pentru care exista deja un patch de securitate.

GRAHAM CLULEY
CORESPONDENT INDEPENDENT