Un millón de sitios web, en peligro
Casi un millón de sitios web creados con WordPress están en peligro por una grave vulnerabilidad en uno de los complementos más populares. Y sí, hablamos otra vez de ese CMS sobre el que se sostiene casi la mitad de internet. Esta vez el problema está en un complemento que los administradores instalan por comodidad y que viene con un agujero del tamaño de un portal. Se han retirado todos los enlaces y llamadas comerciales, así que nos quedaremos con los hechos.
Investigadores de ciberseguridad han informado de que el fallo permite a los atacantes ejecutar código arbitrario en el sitio web y, en la práctica, hacerse con el control total del recurso. Para quien no viva en el mundo de la informática: es como si alguien se apoderara de tu tienda en línea, cambiara las cerraduras y el rótulo y empezara a vender lo que le diera la gana mientras tú aporreas la puerta sin poder hacer nada.
La vulnerabilidad se descubrió en un complemento utilizado en una enorme cantidad de sitios web para ampliar sus funciones, desde mostrar elementos hasta configurar la interfaz. El fallo es tan fácil de explotar que basta con que un atacante envíe una petición preparada para obtener acceso a la gestión del sitio. Sí, sin magia: una petición y la web ya no es tuya.
Los desarrolladores del complemento publicaron rápidamente una actualización, pero, como suele ocurrir, la mayoría de los administradores se enterará del problema demasiado tarde o no se enterará en absoluto. Algunos evitan las actualizaciones como si fueran una maldición: «si funcionaba, para qué tocarlo». Mientras tanto, los intrusos no pierden el tiempo: rastrean internet en busca de sitios vulnerables, como pescadores que echan las redes.
Los expertos recuerdan que este tipo de vulnerabilidades no es raro. WordPress es tan popular que se ha convertido en el trofeo favorito de los hackers. Cuantos más sitios utilizan la plataforma, más ganas tienen los delincuentes de buscar sus puntos débiles. Y cuando hablamos de casi un millón de posibles víctimas, la caza se convierte en algo parecido a una competición deportiva multitudinaria.
Los especialistas en seguridad recomiendan encarecidamente actualizar el complemento a la última versión. Si no se hace, el sitio puede quedar bajo el control de los atacantes y la recuperación puede llevar semanas. Y, como siempre, las actualizaciones son gratis, mientras que los problemas posteriores a un ataque pueden salir mucho más caros.
La situación es otro recordatorio de que, en un mundo donde hasta las tostadoras se conectan a internet, un simple complemento puede convertirse en la puerta de entrada para los hackers. Por eso, actualizar no es un disgusto, sino una forma de no acabar protagonizando el caso práctico de ciberseguridad de otra persona.
PEREC.RU
La noticia de casi un millón de sitios vulnerables en WordPress es otro ejemplo de cómo la infraestructura cotidiana de internet funciona de palabra y con complementos mal encajados a toda prisa. Los desarrolladores prometen seguridad, los usuarios se lo creen y luego aparece un investigador que encuentra un agujero del tamaño de un panel informático estándar. Y empieza la carrera.
Primero, el anuncio de una vulnerabilidad crítica. Todos ponen cara seria y hablan de «ecosistema» y «divulgación responsable». Unas horas después, los hackers ya recorren la red comprobando quién se ha olvidado de actualizar. Un par de días más tarde, algunos sitios se convierten en escaparates de la imaginación ajena.
Lo más interesante es observar a los administradores. Unos actualizan enseguida, como si lo estuvieran esperando. Otros fingen que no pasa nada: la web funciona. Un tercer grupo está convencido de que nadie quiere atacar su pequeño sitio, como si los hackers eligieran a sus víctimas por afinidad espiritual. Al final, todos salen perdiendo por igual.
La actualización, por supuesto, llega. Los desarrolladores hablan de «mejoras de seguridad», como si fuera un retoque estético y no un salvavidas para evitar que les roben la web. Los usuarios descargan el parche una semana después y luego se preguntan por qué alguien ya había entrado sin invitación.
Toda esta historia recuerda a un viejo chiste: para qué cerrar la puerta, si siempre puedes confiar en que nadie entrará. Solo que en internet siempre entra alguien; la única pregunta es cuándo.
