Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Aggiornamento WordPress corregge una falla vecchia di sette mesi

Lug 10, 2018 Marco Schiaffino News, RSS, Vulnerabilità 0

La patch è arrivata due settimane dopo che i ricercatori hanno deciso di renderla pubblica. Ora parte la corsa all’aggiornamento.

Si sono dimostrati molto più “comprensivi” di molti colleghi (per esempio dei rigorosissimi analisti del Project Zero di Google) concedendo agli sviluppatori tutto il tempo che volevano per correggere la falla, ma dopo sette mesi senza una patch che rimediasse alla vulnerabilità, Slavco Mihajloski e Karim El Ouerghemmi hanno deciso che era arrivato il momento di forzare la mano.

Lo scorso 26 giugno hanno quindi pubblicato un report per descrivere i dettagli di un bug in WordPress che metteva a rischio i milioni di siti (secondo le statistiche il Content Management System è usato per gestire il 30% dei siti su Internet) esponendoli al rischio di essere compromessi con estrema facilità.

Il problema, come spiegano i due ricercatori, è legato alla possibilità che un utente autenticato (ma senza privilegi di amministratore, per esempio registrato come autore) possa cancellare qualsiasi file all’interno dell’installazione di WordPress.

Il rischio più evidente è ovviamente quello che chiunque possa cancellare definitivamente il contenuto di un sito, ma non solo. Un attacco mirato consentirebbe, infatti, di prenderne il controllo e acquisire i privilegi di amministratore.

Per farlo è sufficiente cancellare il file wp-config.php, operazione che ha come conseguenza l’avvio della procedura d’installazione alla visita seguente e la possibilità, per chi la gestisce, di inserire nuove credenziali di amministrazione. Insomma: il bug avrebbe aperto la porta a un vero e proprio “furto” del sito Internet.

Con il rilascio della nuova versione 4.9.7 (qui i dettagli della nuova release) il bug è stato corretto. Ora però bisognerà affrontare il classico periodo di “vuoto” in cui i pirati possono approfittare dell’inerzia nell’installazione degli aggiornamenti per sfruttare la vulnerabilità. Il consiglio per tutti gli utenti WordPress è naturalmente quello di procedere quanto prima all’aggiornamento.

Condividi l'articolo