Millones de sitios de WordPress reciben actualizaciones automáticas forzadas para parchear fallas de seguridad
¿Lo que acaba de suceder? La semana pasada, la mayor parte de los dos millones de sitios de WordPress obtuvieron una actualización de seguridad forzada debido a una falla grave en un complemento utilizado para realizar copias de seguridad de los datos. La vulnerabilidad podría permitir que usuarios no autorizados descarguen copias de seguridad de sitios de WP.
El jueves pasado, se lanzó una actualización de seguridad para el complemento UpdraftPlus para sitios de WordPress para abordar una vulnerabilidad crítica. Los desarrolladores pensaron que la falla era lo suficientemente urgente como para justificar una actualización forzada.
UpdraftPlus se utiliza para simplificar la descarga y restauración de copias de seguridad de sitios de WordPress. Los desarrolladores de JetPack, durante una auditoría interna de UpdraftPlus, encontraron una vulnerabilidad en una verificación de permisos faltantes que podría permitir el acceso de usuarios no autorizados a esas copias de seguridad. Por lo general, solo los administradores deberían tener acceso a ellos. Según los gráficos de UpdraftPlus, alrededor de 1,7 millones de sitios descargaron la actualización el jueves.
Tanto JetPack como UpdraftPlus publicaron advertencias sobre la falla. Los sitios que encriptan sus copias de seguridad corren menos riesgo, y los desarrolladores de UpdraftPlus notan que WordPress codifica sus contraseñas almacenadas, lo que debería protegerlos de los piratas informáticos que obtienen copias de seguridad sin encriptar. JetPack dice que la mayoría de los sitios de WordPress se han actualizado e insta a aquellos que no lo han hecho a que instalen el último parche de UpdraftPlus.
Las vulnerabilidades de los complementos de WordPress se están convirtiendo en un problema cada vez más grave. Un informe de un grupo de seguridad el mes pasado dijo que se informaron más vulnerabilidades en 2021 que en 2020 y que tres cuartas partes de las fallas de los complementos tenían vulnerabilidades conocidas.