800.000 páginas de WordPress siguen siendo vulnerables a ataques porque los usuarios se están olvidando de parchear sus sitios de WordPress.
Hay que recordar que hace semanas se encontraron dos fallos críticos en un popular plugin de WordPress y aunque fueron parcheados hace semanas, cientos de miles de usuarios aún no han desplegado la actualización, lo que pone sus sitios en riesgo.
El plugin “All in One” SEO WordPress era vulnerable a dos fallos: CVE-2021-25036, que es un fallo crítico de escalada de privilegios autentificada, y CVE-2021-25037, un fallo de alta gravedad de inyección SQL autentificada.
Falta gente por actualizar el parche
En total, se llegó a estimar que tres millones de sitios eran vulnerables al error. En las últimas dos semanas, desde que los desarrolladores del plugin publicaron el parche, se actualizaron más de dos millones de plugins, con lo que unos 820.000 siguen siendo vulnerables.
Aunque las fallas requieren que el atacante se autentique con WordPress, sólo necesitan permisos de bajo nivel, como el de Suscriptor, para funcionar. Normalmente, un suscriptor solo puede publicar comentarios y editar su propio perfil, pero con CVE-2021-25036, puede elevar sus privilegios y ejecutar código de forma remota en las webs vulnerables.
El investigador de seguridad de Automattic, Marc Montpas, que fue el primero en detectar los fallos, dice que es fácil aprovecharse de estos errores, ya que todo lo que el atacante tiene que hacer es cambiar “un solo carácter a mayúsculas” para eludir todas las comprobaciones de privilegios.
Los administradores de sitios web que utilicen el plugin All in One SEO WordPress deberían actualizarlo a la versión 4.1.5.3, del 14 de Diciembre de 2021, para evitar así ser vulnerables a los ataques.