WordPress sotto attacco
WordPress sotto attacco

WordPress sotto attacco

WordPress sotto attacco informatico

In questo periodo sta aumentando l’uso del web in tutte le sue forme. Anche chi, per abitudine, sfiducia o deludenti esperienze con professionisti incompetenti, aveva accantonato l’idea di intraprendere questo canale di comunicazione, ha ripreso in considerazione tale idea.

La realizzazione di un sito decoroso senza troppe pretese è diventato alla portata di tutti. Vi sono numerosi sistemi per realizzare un “sitino” in autonomia.

Prendendo in considerazione un’istanza di WordPress installata (la procedura di installazione è veramente banale ed addirittura alcuni hoster forniscono spazi web con il CMS preinstallato o mettono a disposizione dei tool di instalzione semi-automatica – vedi ad esempio Softacolous ).

Non sarebbe un male se non fosse che questi siti nascondono delle insidie. Per lo più pericolose a causa dell’inesperienza e l’ignoranza di alcune regole che i Webmasters professionisti conoscono in quanto vivono quotidianamente la realizzazione e la manutenzione di siti anche complessi.

Proprio su questo stanno aumentando gli attacchi informatici ai siti web realizzati con WordPress.

E’ notizia di questi giorni che uno dei plugin più utilizzati per realizzare in modo visuale delle belle pagine di un sito di WordPress è Elementor.

Vulnerabilità critica di Elementor Pro

Le vulnerabilità critiche in Elementor Pro consentono il controllo da parte degli hacker del sito Web.

WordFence sta segnalando che Elementor Pro ha un exploit di vulnerabilità Critical Zero Day. Questa vulnerabilità è stata corretta il, 7 maggio 2020.

Secondo quanto riferito, le versioni senza patch vengono sfruttate attivamente. Elementor ha appena rilasciato Pro versione 2.9.4, che contiene la correzione per la vulnerabilità di upload di file critici

Due plugin elementor sono vulnerabili

Secondo WordFence ci sono due plugin coinvolti, ognuno con una vulnerabilità.

Elementor Pro è un plugin vulnerabile

Elementor Pro è la versione a pagamento del plug-in di page builder Elementor WordPress. Questa vulnerabilità non influisce sulla versione gratuita del plug-in Elementor.
La vulnerabilità è classificata come “critica” secondo WordFence. Un hacker dovrebbe essere registrato con il sito Web per sfruttare la vulnerabilità.
Se gestisci un sito Web WordPress con Elementor Pro e consenti ai visitatori del sito di registrarsi per commentare o contribuire al sito, potresti essere vulnerabile.

Se tuttavia il tuo sito WordPress Elementor Pro non ha utenti registrati, potresti essere ancora a rischio.
Il motivo per cui potresti essere ancora a rischio è perché un altro plug-in Ultimate Addons per Elementor, consente a un hacker di registrarsi come abbonato anche se la registrazione è vietata. Ciò significa che il plug-in Ultimate Addons for Elementor consente a un hacker di hackerare Elementor Pro.

Secondo WordFence:

A causa della vulnerabilità attualmente non corretta, stiamo escludendo ulteriori informazioni. Abbiamo dati tramite un altro fornitore che indica che il team di Elementor sta lavorando su una patch. Abbiamo contattato Elementor e non abbiamo ricevuto immediatamente la conferma prima della pubblicazione.

Componenti aggiuntivi definitivi per la vulnerabilità degli elementari

Il secondo plug-in vulnerabile è il plug-in Ultimate Addons for Elementor che estende le funzionalità di.

La vulnerabilità consente a un hacker di sfruttare la vulnerabilità di Elementor Pro se la registrazione dell’utente è disattivata. Al momento è disponibile una patch appena rilasciata per correggere la vulnerabilità di Elementor Pro. Aggiorna Elementor Pro alla versione 2.9.4 per essere protetto. C’è anche una patch per correggere il plugin Ultimate Addons for Elementor.
Aggiornando il plugin Ultimate Addons (se lo hai installato) puoi in teoria bloccare un hacker dallo sfruttamento di un sito Elementor Pro, a condizione che le registrazioni degli utenti siano vietate.

Come proteggere il tuo sito Web Elementor Pro

WordFence consiglia di aggiornare Elementor Pro alla versione 2.9.4. Una volta aggiornato Elementor Pro sarai al sicuro dagli hacker.

E’ diventato quindi assolutamente necessario un costante monitoraggio e la manutenzione dei siti realizzati con questo CMS.

In questo caso, spiegano i ricercatori, i pirati informatici non si stanno muovendo sulla base di nuove falle di sicurezza, ma sembrano puntare più che altro sulla legge dei grandi numeri. I cyber criminali, infatti, starebbero utilizzando una serie di vulnerabilità piuttosto datate, nella speranza di individuare siti Internet i cui amministratori non hanno eseguito gli aggiornamenti che le correggono.

Una strategia che, purtroppo, rischia di dare i suoi frutti. Molti utenti WordPress, infatti, hanno un atteggiamento piuttosto “lassista” negli aggiornamenti e nemmeno le ultime novità introdotte dagli sviluppatori del Content Management System (che prevede l’aggiornamento automatico dei plugin) sembra poter arginare questo tipo di attacchi.

La soluzione, concludono i ricercatori, è piuttosto semplice: aggiornare i plugin in questione.

Fonti:

Rispondi

Questo sito usa Akismet per ridurre lo spam. Scopri come i tuoi dati vengono elaborati.