Alcuni giorni fa, in uno dei nostri aggiornamenti sulla sicurezza del CMS WordPress e soprattutto sulle vulnerabilità che periodicamente vengono riscontrate all’interno dei tantissimi plugin installabili sui siti sviluppati su questa nota piattaforma abbiamo anche parlato di un recente bug scoperto su Burst Statistics, una soluzione molto diffusa per il tracciamento interno delle metriche web, nata come alternativa rispettosa della privacy rispetto ai tradizionali giganti dell’analisi dei dati. Questa falla di sicurezza, come abbiamo scritto nell’articolo disponibile a questo link, consentiva l’accesso indiscriminato ai backend e quindi una lunghissima serie di attività malevole possibili una volta che viene “sfondata” quella barriera. La falla, alla quale è stato assegnato un punteggio di criticità di 9.8 su 10, era presente “solo” in alcune versioni del plugin, ovvero quelle che vanno dalla 3.4.0 alla 3.4.1.1, ma le installazioni attive sono attualmente oltre 200.000, cosa che, senza dettagli sul numero di utenti che ha raccolto anche il nostro invito ed ha installato la patch di sicurezza, rende smisurata la platea di potenziali vittime.
La situazione raccontata pochi giorni fa, purtroppo, è rapidamente precipitata e le ultime notizie confermano che quello che era un timore teorico si è trasformato in una minaccia concreta e imminente che richiede l’attenzione immediata di chiunque gestisca un sito web. I ricercatori hanno infatti confermato che i cybercriminali stanno sfruttando attivamente la vulnerabilità, che ricordiamo nuovamente risiede in una gestione errata dei valori di ritorno durante la convalida delle password delle applicazioni all’interno di una specifica funzione del codice del plugin. Questo difetto strutturale apre le porte a un devastante bypass dell’autenticazione, consentendo a malintenzionati non autenticati di accedere al sistema con i privilegi massimi. L’aspetto più inquietante di questo scenario è che a un attaccante basta semplicemente conoscere un nome utente amministratore valido per riuscire a impersonare quella figura e assumere il controllo totale della piattaforma, senza dover indovinare la reale password associata all’account.
I dati raccolti sul campo dalle aziende di sicurezza informatica delineano un quadro di vera e propria emergenza, con almeno 112.000 tentativi di attacco già bloccati da alcuni sistemi di protezione. Le analisi del traffico dimostrano che le prime ondate di attacchi sono partite lo stesso identico giorno in cui la vulnerabilità è stata resa pubblica, vale a dire il 13 maggio scorso, evidenziando una reattività spaventosa da parte delle reti criminali. I flussi di richieste malevole indicano che i cybercriminali stanno inviando comandi mirati tramite le API del sito per creare nuovi account amministratore abusivi, utilizzando indirizzi email fittizi e garantendosi così una porta di servizio permanente per l’espropriazione dei dati e la successiva manipolazione dei contenuti. Come prontamente raccontato e ricordato, per arginare questo fenomeno, gli sviluppatori di Burst Statistics hanno tempestivamente rilasciato una versione correttiva, ed è assolutamente vitale che gli amministratori di sistema procedano all’aggiornamento immediato alla versione 3.4.2 o successive per neutralizzare il rischio.
Questa vicenda ci spinge a una riflessione più profonda su quanto sia cruciale adottare una postura di difesa proattiva e non semplicemente reattiva quando si tratta di sviluppo dei siti ma anche allargando il campo all’intero settore dell’Information Technology. Inoltre, parlare della fila di attacchi e dei pericoli che si corrono nel momento in cui viene resa pubblica una vulnerabilità fa anche capire come mai anche questo portale pone tantissima enfasi sul tema, fondamentale, della cura dei propri siti e dell’effettuazione degli aggiornamenti. Spesso consideriamo i plugin come strumenti secondari, quasi estetici, dimenticando che ogni singola riga di codice installata sul nostro server rappresenta una potenziale superficie di attacco che i criminali informatici studiano incessantemente. Non basta più installare una patch quando il danno è già stato reso pubblico, ma diventa fondamentale disporre di firewall evoluti e di sistemi di monitoraggio in grado di analizzare costantemente i registri di accesso alla ricerca di anomalie. In ultima analisi, la sicurezza di un ecosistema digitale non si misura dalla complessità delle sue barriere, ma dalla costanza e dalla velocità con cui sappiamo riconoscere e curare i suoi punti deboli prima che lo faccia qualcun altro.
Fonte: 1
