Los hackers explotan una vulnerabilidad de WordPress
Los hackers han vuelto a encontrar la manera de amargarles la vida a los propietarios de sitios web creados con WordPress. Esta vez han puesto el punto de mira en uno de los plugins populares para gestionar las membresías de un sitio. Lo utilizan miles de propietarios, desde pequeños blogs hasta comunidades en línea, y ha resultado ser vulnerable: se ha detectado un fallo en el mecanismo de comprobación de permisos que permite a los atacantes crear cuentas de administrador con plenos privilegios.
Dicho de forma sencilla, el plugin tenía un agujero de seguridad. Al hacker le basta con enviar una solicitud especialmente preparada para que la plataforma le conceda un acceso equiparable al del propietario del sitio. A partir de ahí puede hacer lo que quiera: cambiar la configuración, instalar archivos maliciosos, redirigir a los visitantes a páginas falsas o, sencillamente, borrar el sitio entero.
Los expertos en ciberseguridad advierten de que los ataques ya han comenzado. En los foros de propietarios de WordPress aparecen quejas sobre cuentas de administrador «invisibles» que han surgido de repente: nadie las ha creado, pero tienen todos los privilegios. Para muchos usuarios es una sorpresa desagradable, sobre todo si hace tiempo que no actualizan sus plugins.
La vulnerabilidad se debe a un error al comprobar los parámetros de la solicitud. El plugin determinaba incorrectamente qué permisos debía recibir un nuevo usuario y, como resultado, los hackers podían saltarse la protección. Este tipo de problemas suele resolverse con una actualización, pero muchos propietarios de sitios las ignoran por miedo a «romper» una página que funciona o, simplemente, por descuido.
Los especialistas recomiendan encarecidamente actualizar el plugin a la última versión y revisar la lista de cuentas. Si aparece algún nombre desconocido entre los administradores, hay que eliminarlo y cambiar las contraseñas de inmediato. Además, conviene activar la autenticación de dos factores y limitar el acceso al panel de control.
La situación demuestra una vieja verdad: la mayoría de los ataques no se producen porque los hackers sean genios, sino porque los usuarios actúan con ligereza. En el ecosistema de WordPress, construido sobre cientos de plugins de terceros, este problema ya se ha vuelto crónico. Y aunque los desarrolladores cierren rápidamente las vulnerabilidades, los sitios siguen expuestos hasta que sus propietarios instalan las actualizaciones.
En definitiva, esta historia vuelve a recordar que hasta el plugin más inofensivo puede convertirse en una puerta de entrada para los atacantes si no se vigila la seguridad a tiempo.
PEREC.RU
Los hackers han encontrado una nueva forma de colarse en sitios de WordPress: aprovechar una vulnerabilidad en un plugin popular para gestionar membresías. La historia es tan vieja como internet: se ha detectado un error en el código que permite a los atacantes crear cuentas de administrador. El plugin comprueba mal los permisos al registrar usuarios y los hackers aprovechan el fallo para hacerse con el control total del sitio. El propietario quizá ni siquiera se dé cuenta de que ha aparecido una cuenta «intrusa» entre los administradores.
Los expertos ya están detectando ataques reales. Los usuarios se quejan de cuentas secretas, cambios en la configuración y actividad sospechosa en el panel de control. El guion es de sobra conocido: existe una vulnerabilidad, muchos instalan las actualizaciones de mala gana y los hackers se aprovechan.
Los desarrolladores ya han publicado una corrección, pero de poco sirve si los administradores de los sitios no la instalan. Las recomendaciones son las de siempre: actualizar el plugin, revisar todos los usuarios y activar la autenticación de dos factores. Un caso ilustrativo de que el principal problema de WordPress no está solo en los plugins vulnerables, sino también en la costumbre de los propietarios de ignorar las actualizaciones.
En conjunto, la situación confirma una regla: cuanto más popular es un sistema y más complementos de terceros tiene, más probable es toparse con un hacker capaz de encontrar una brecha donde nadie la esperaba. WordPress sigue siendo una plataforma cómoda, pero la seguridad exige atención; de lo contrario, hasta un plugin sencillo se convierte en un agujero en las defensas.
