Vulnerabilidades en wordpress 4.4

Inicio > Wordpress > Vulnerabilidades en wordpress 4.4

Las vulnerabilidades en WordPress 4.4 han puesto en jaque un gran número de sitios web durante este mes de Enero; lo cual ha significado un considerable aumento de los sitios web hackeados.

Importancia de tener siempre un Backup.

Seguramente la mejor opción ante las vulnerabilidades; contar con un backup de nuestra web WordPress; es un trabajo que a menudo olvidamos y que sólo nos acordamos de él cuando ya tenemos el problema. Es muy importante disponer de una copia de respaldo ante posibles vulnerabilidades.

Actualizar WordPress.

Personalmente no me gusta utilizar nunca la última versión de WordPress en mis desarrollos de páginas web; este mes de enero ha sido el que mayor número de infecciones de páginas web he tenido que resolver y la mayoría de ellas se han dado por vulnerabilidades en WordPress 4.4; siempre sumado a las páginas sin actualizar y sin los menores elementos de seguridad.

Se está convirtiendo en algo natural que la última versión de WordPress presente un montón de bugs por donde se permite la entrada a los hackers; en este caso las vulnerabilidades en WordPress 4.4 han vuelto a darme la razón y menos mal que mis últimos desarrollos no utilizaban esta versión o el trabajo habría sido doble.

Las vulnerabilidades en WordPress 4.4

vulnerabilidades en wordpressEntrando de lleno en la mayor de las vulnerabilidades de WordPress 4.4; hay que mencionar que a los desarrolladores del más utilizado de los CMS de código abierto se les olvidó cerrar una puerta de acceso XSS; lo que normalmente se denomina “cross site scripting”. También cómo es habitual; el equipo de desarrollo no anunció la vulnerabilidad hasta que ya estaba solucionada; esta vez fueron los usuarios, quienes tras darse cuenta de la cantidad de ataques que estaban sufriendo aportaron la solución creando un exploit que contraresta las vulnerabilidades en wordpress 4.4.  Acto seguido se produjo una actualización del core de WordPress a 4.4.1. que esta vez no presenta vulnerabilidades.

Los plugin defensivos en WordPress.

Afortunadamente el plugin de defensa Wordfence actuó con rapidez bloqueando el exploit que ya se había expandido por la red; incluso se había publicado en Twitter y hace imprescindible una nueva actualización de WordPress lo antes posible; aunque por ahora los ataques han cesado, nadie asegura que no se puedan volver a repetir.

Actualiza los plugin de forma inmediata.

No me cansaré de decir que hay que tener los plugin perfectamente actualizados a la última versión disponible; tratar de no utilizar plugins que llevan sin actualizar más de 6 o 9 meses y utilizar plantillas para los desarrollos de páginas web que ofrezcan las suficientes garantias; tanto de actualizaciones periódicas como de seguridad.

Antes de actualizar WordPress hay que tener en cuenta también que la plantilla que utilizas sea compatible con la nueva versión y hacer una copia de seguridad de archivos y Base de datos antes de actualizar; de esa forma puedes prevenir un  posible fallo en la actualización.

Las copias de seguridad de WordPress actualizadas.

En cualquier caso parece que esto de las copias de seguridad no va con nosotros; por lo menos hasta que has sido víctima de un ataque; por defecto los mejores hosting ofrecen copias de seguridad gratuitas a sus usuarios; algunos cobran por la restauración y otros no, no obstante los usuarios nos dedicamos a actualizar a las bravas; si es que éste es un país de toreros, somos muy valientes “a mi no me va a pasar”. Sin embargo la realidad es que lo más frecuente es que despues de actualizar WordPress tu sitio web no funcione, presenta pantalla en blanco o tu página totalmente desconfigurada. y ya de poco sirve echarse las manos a la cabeza, has de buscar a alguien que solucione el problema.

Como decía al principio; este mes de Enero ha sido un mes excepcionalmente duro para las vulnerabilidades de WordPress y algunos de sus plugin más conocidos; quizá la peor de las vulnerabilidades la presentaba el plugin WordPress Download Manager en su versión 2.8.7 y anteriores; con un backdoor script permitía la inyección de php maligno en prácticamente todas las carpetas de wp-content; una alegría vamos.

La inyección de PHP, el malware más complejo de resolver.

Las inyecciones de php eran utilizados por scripts del tipo mailer para enviar spam en todas direcciones; en algunos sitios web se detectó picos de tráfico superiores a 1 Gb por día y la correspondiente aparición de la Ip del servidor en las blacklist de SPAM; y el enfado del proveedor de hosting que de repente vio sus recursos bloqueados por el aumento de tráfico repentino; en muchas ocasiones fue suficiente con ejecutar un buscashells en el servidor para detectar las vulnerabilidades, pero en otros casos se tuvo que limpiar las carpetas una a una.

Una vez más quedan al descubierto vulnerabilidades en WordPress, y seguramente te estarás preguntando si esto ocurre con otros CMS; pues la verdad es que si, y en ocasiones son mucho peores; hace poco se conocía una vulnerabilidad en Magento que dejo literalmente con el culo al aire a miles de ecommerce en todo el mundo.

Si no lo has hecho ya, en primer lugar te recomiendo que hagas un backup completo de tu sitio web y a continuación actualices a WordPress 4.4.1; actualiza tus plugins tan pronto como presenten actualizaciones y si no sabes como hacerlo consulta a un desarrollador web cuanto te cobra por mantener tu web en plena forma; un ataque de fuerza bruta te puede costar muy caro.

Espero este post te sea de utilidad y que no seas nunca víctima de un ciberataque; lo único que te queda después es esperar que el alcance haya sido mínimo.

Rating: 5.0. From 7 votes.
Please wait...
2017-03-15T09:08:46+00:00

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.

ACEPTAR
Aviso de cookies