Um trio de vulnerabilidades zero-day em plugins do WordPress deixou 160 mil sites expostos a ataques na última semana.
O termo zero-day é usado para descrever uma ameaça que não foi corrigida ou que ainda não se tornou pública. Só que no caso do WordPress, os sites estavam suscetíveis a ataques porque um pesquisador de segurança divulgou as falhas publicamente antes que elas fossem corrigidas.
Os plugins Yuzo Related Posts e Yellow Visual Pencil Customizer para WordPress, que são usados por 60 mil e 30 mil sites respectivamente, foram atacados depois que as falhas em seus códigos foram reveladas.
Assim que a informação começou a circular pela internet, os dois plugins foram removidos da plataforma do WordPress. Enquanto o Yellow Pencil emitiu um patch três dias depois que a vulnerabilidade foi divulgada, o Yuzo Related Posts permanece indisponível e nenhum patch foi desenvolvido.
Já o plugin Social Warfare, que é usado em 70 mil sites, foi atingido com exploits depois que falhas de segurança em seu código foram expostas publicamente. O exploit é uma sequência de comandos ou dados elaborados por hackers que consegue causar um comportamento acidental ou imprevisto na execução de um software ou hardware.
Para fins maléficos, um exploit pode dar ao hacker o controle de um sistema de computador, permitindo a execução de determinados processos por meio de acesso não autorizado a sistemas. Diferente de outros meios de disseminação de vírus e ataques cibernéticos, um exploit não precisa que o usuário clique em um determinado link ou faça o download para a execução de algum arquivo.
Os desenvolvedores do plugin Social Warfare corrigiram a falha rapidamente, mas os sites que o utilizavam já haviam sido hackeados.
Vulnerabilidades de plugins
Todos os três plugins vulneráveis foram invadidos para redirecionar os visitantes a sites que exibiam golpes de suporte técnico e outros tipos de fraudes online.
As falhas de segurança foram divulgadas pelo site Plugin Vulnerabilities, que publicou posts explicando detalhadamente as vulnerabilidades, incluindo informações técnicas que os hackers usaram para atacar os plugins.
Quando as falhas do Yellow Visual Pencil Visual Theme e Social Warfare foram reveladas, elas foram exploradas por hackers em questão de horas. As vulnerabilidades, entretanto, estavam no código dos plugins há 11 dias.
O pesquisador de segurança em vulnerabilidades de plugins, responsável pela publicação dos posts, explicou sua decisão ao site Ars Technica. “Nossa política de divulgação é divulgar completamente as vulnerabilidades e, em seguida, tentar notificar o desenvolvedor”.
Neste caso, ele conta que publicou as vulnerabilidades zero-day em seu próprio site depois que as postagens alertando sobre as falhas foram removidas do Fórum de Suporte do WordPress por violar as regras da plataforma.
// Canaltech / Tech Radar
