wp2shell

Una vulnerabilità critica di WordPress sta mettendo in ginocchio milioni di siti in tutto il mondo, e la cosa preoccupante è che chiunque, davvero chiunque, può sfruttarla. Si chiama wp2shell e colpisce direttamente il cuore del CMS open source, quello che manda avanti dai piccoli blog personali fino ai grandi negozi online. Il problema è talmente serio da costringere gli amministratori a correre ai ripari e aggiornare i propri siti d'urgenza, passando alle versioni 6.9.5 oppure 7.0.2. La cosa che rende questa falla così temibile è che non serve nessuna credenziale. Non c'è bisogno di essere loggati, non c'è bisogno di un plugin vulnerabile installato per sbaglio. Basta essere un semplice visitatore del sito. L'attaccante deve solo inviare una richiesta costruita ad hoc verso il sito WordPress e il gioco è fatto. Per una volta il problema non arriva da qualche estensione di terze parti aggiunta dall'amministratore, ma dal nucleo stesso della piattaforma. Ed è proprio questo a renderla così pericolosa. Come funziona wp2shell e quali versioni sono a rischio Andando un po' più nel dettaglio, wp2shell non è una singola falla isolata ma una vera e propria catena d'attacco, messa insieme sfruttando due vulnerabilità diverse. La prima è comparsa con l'aggiornamento a WordPress 6.9 e permette di manipolare il modo in cui alcune richieste vengono gestite dal cuore del sistema. La seconda invece consente di far passare contenuti malevoli dentro una richiesta SQL, ovvero il comando che viene inviato al database del sito per leggere o modificare informazioni. Combinate insieme, queste due debolezze trasformano un attaccante non autenticato da semplice curioso a padrone assoluto del server, libero di eseguire codice senza alcun ostacolo. Le versioni colpite sono le iterazioni dalla 6.9.0 alla 6.9.4 e quelle dalla 7.0.0 alla 7.0.1. Per tappare il buco WordPress ha rilasciato d'urgenza le versioni 6.9.5 e 7.0.2, che neutralizzano l'intera catena d'attacco. Vista la gravità della faccenda, il team si è preso la libertà di attivare gli aggiornamenti automatici forzati per tutti i siti compatibili. Una misura eccezionale, pensata per ridurre in fretta il numero di siti esposti ed evitare abusi. Sul sito ufficiale si legge chiaramente che questo aggiornamento corregge una falla di sicurezza e che è fondamentale aggiornare i propri siti senza aspettare. Gli hacker sono già al lavoro Nonostante la reattività di WordPress, i pirati informatici hanno trovato in fretta il modo di sfruttare le falle. Metodi di attacco completi e funzionanti sono stati pubblicati su GitHub e in breve tempo numerosi ricercatori hanno riscontrato tentativi di sfruttamento diretti contro siti WordPress. Insomma, gli attaccanti non hanno perso tempo e cercano di approfittare della breccia prima che venga chiusa del tutto. Proprio per questo il team di ricerca che ha scoperto il problema ha deciso di rimandare la pubblicazione completa dei dettagli tecnici, così da dare agli amministratori il tempo di installare le correzioni. È stato anche messo online un sito di test pubblico, wp2shell.com, dove basta inserire l'indirizzo del proprio sito nella barra di ricerca per scoprire nel giro di un secondo se è vulnerabile o meno. Nel frattempo anche Cloudflare ha preso provvedimenti specifici per bloccare i tentativi di sfruttamento delle due vulnerabilità sui siti che protegge, comprese le offerte gratuite. Sono stati messi in piedi dei filtri appositi per ridurre la superficie d'attacco in attesa che tutti i siti riescano a installare l'aggiornamento adeguato.

wp2shell

WordPress, la falla wp2shell mette a rischio milioni di siti