WordPress, la piattaforma OpenSource per blog, ha un problema con il plugin UpdraftPlus

WordPress è la base per più del 40% dei siti internet, quindi qualsiasi problema di sicurezza lo riguardi ha ripercussioni importanti, sempre.

Uno dei punti di forza di WordPress è anche il suo più grande punto debole: i plugin. Grazie a questo meccanismo, è possibile aggiungere o affinare capacità al sistema, ma la sicurezza del tutto dipende da quella di ciascun componente, per cui la vulnerabilità globale è data dal componente della vulnerabilità maggiore.

E infatti oggi parliamo non tanto di un baco di WordPress, ma quanto di uno dei suoi plugin più diffusi: UpdraftPlus. Si tratta di una utility dedicata al backup dell’istanza WordPress, proprio per avere una copia in caso di intrusioni o manomissioni, da tenere al sicuro.
Il buco individuato permette a qualsiasi utente collegato al sito, ovvero che abbia fatto login, di scaricarsi una copia di quel backup. Cosa non del tutto immediata: l’attaccante deve fare un po’ di reverse-engineering del sito e del plugin per avere i puntamenti corretti, ma nemmeno del tutto impossibile.

Con una copia del backup, un eventuale attaccante ha accesso a tutte le informazioni contenute sul sito, comprese quelle normalmente riservate. E sebbene alcune siano criptate (come le password degli utenti), non tutto è altrettanto sicuro.

Affinché si possa definire questo bug molto grave serve che sia possibile creare utenze senza autorizzazioni particolari e – ovviamente – il plugin installato. Ma entrambe le condizioni sono piuttosto diffuse, il che rende possibile il verificarsi di entrambe, cosa che mette in pericolo tutti gli utenti di quel sito.

Le patch sono già state rilasciate e, a giudicare dal picco di download dei giorni scorsi, in tanti hanno già aggiornato il plugin (merito anche delle politiche di aggiornamento automatico di WordPress, senza dubbio). Ma un controllo, anche di altri plugin, non farebbe male!