Un problema di sicurezza in un plugin, causato da un errore nel codice, sta mettendo in pericolo milioni di siti web che utilizzano WordPress.

Il plugin coinvolto è LiteSpeed Cache, molto noto per la sua capacità di ottimizzare le prestazioni dei siti web, rendendo più veloce il caricamento per gli utenti. Con cinque milioni di installazioni attive, è uno dei plugin più utilizzati, supportato da altri plugin di grande popolarità come WooCommerce, bbPress, ClassicPress e Yoast SEO.

Recentemente, come riportato da BleepingComputer, è stata individuata una grave vulnerabilità che consente di eseguire attacchi sui siti WordPress che utilizzano questo plugin, permettendo agli aggressori di ottenere privilegi amministrativi. Questa vulnerabilità è stata identificata con il codice CVE-2024-28000.

Come avviene l’attacco su WordPress

In sostanza, gli hacker possono sfruttare questa falla di sicurezza per passare da semplici visitatori anonimi a utenti con diritti di amministratore. Questo permette loro di compiere azioni dannose, come eliminare contenuti, pubblicare nuovi post, rimuovere account esistenti e modificare le password. Per gli amministratori che utilizzano LiteSpeed Cache, è cruciale effettuare un aggiornamento immediato per evitare potenziali danni.

Questa vulnerabilità di WordPress, che passa attraverso uno dei suoi plugin, non è la prima e sicuramente non sarà l’ultima. Tuttavia, è una delle più pericolose degli ultimi tempi poiché solleva interrogativi sulla sicurezza e la gestione dei siti web.

WordPress 3.6 disponibile: la piattaforma alimenta il 18.9% del web

Funzionalità e problemi di compatibilità

I plugin sono estensioni sviluppate da terze parti che aggiungono funzionalità specifiche a WordPress. Sebbene offrano utilità agli amministratori di siti, possono anche complicare la gestione della sicurezza e della compatibilità.

Da una parte, è essenziale mantenere WordPress sempre aggiornato, essendo il CMS più diffuso al mondo e quindi il più bersagliato dagli attacchi informatici. La comunità open source che lo supporta è molto reattiva nel risolvere le vulnerabilità, ma molti amministratori di siti non aggiornano rapidamente, il che può lasciare i loro siti esposti agli attacchi.

Uno dei motivi per cui gli aggiornamenti vengono spesso ritardati è la paura di causare incompatibilità tra le versioni del CMS e i plugin, i quali possono svolgere ruoli cruciali per singole installazioni. Di conseguenza, gli aggiornamenti vengono posticipati per evitare di “rompere” l’intero sistema.

Il problema dei plugin

I plugin stessi possono rappresentare dei vettori di attacco, poiché sono piccoli software che possono contenere vulnerabilità, come è successo con LiteSpeed Cache. La gestione degli aggiornamenti dei plugin non è sempre chiara, e molti amministratori non riescono a distinguere tra le varie versioni e le loro specifiche problematiche di sicurezza.

Il rischio è quello di mantenere vecchie versioni per paura di problemi di compatibilità con altri plugin o con le configurazioni esistenti.

Sfide di sicurezza per WordPress

Essendo il CMS più grande al mondo, WordPress è, per certi versi, paragonabile a un sistema operativo per la gestione di contenuti web e infrastrutture complesse, e deve essere mantenuto sicuro, cosa non sempre semplice.

Anche se il team di sviluppo di LiteSpeed Cache ha rilasciato aggiornamenti per risolvere la vulnerabilità di sicurezza a metà agosto, i dati di download dal repository ufficiale di WordPress mostrano che il plugin è stato aggiornato solo in circa 2,5 milioni di casi, lasciando molti siti ancora esposti.

Questa non è stata l’unica occasione in cui LiteSpeed Cache è stato bersaglio di attacchi. All’inizio dell’anno, una vulnerabilità di cross-site scripting non autenticata (CVE-2023-40000) è stata sfruttata per creare utenti amministratori non autorizzati su siti web vulnerabili.

In maggio, WPScan, il team di sicurezza di Automattic, ha segnalato che i malintenzionati avevano iniziato a scansionare i siti web a partire da aprile, con oltre 1,2 milioni di tentativi di accesso da un singolo indirizzo IP.

Aggiornare senza esitazione

“Raccomandiamo fortemente agli utenti”, ha dichiarato Chloe Chamberland, responsabile dell’intelligence sulle minacce di Wordfence, “di aggiornare i loro siti con l’ultima versione corretta di LiteSpeed Cache, la 6.4.1 al momento attuale, il prima possibile. Siamo certi che questa vulnerabilità sarà sfruttata molto presto”.

A giugno, il team di Threat Intelligence di Wordfence ha inoltre rivelato che un attore malevolo ha compromesso almeno cinque plugin su WordPress.org, aggiungendo script PHP dannosi per creare account amministrativi non autorizzati sui siti interessati.

Ci permettiamo di ricordare che Computer Plus, grazie ai suoi programamtori è in grado anche di realizzare siti web e ecommerce senza utilizzare cms come wordpress ma programmando direttamente a codice. Questo rende i siti molto più sicuri e indipendenti da plugin di terze parti.

Clicca qui di seguito per approfondire: Siti Web con CMS o a Codice