Cientos de miles de webs son ahora inseguras

Cientos de miles de sitios web se han visto afectados por una nueva vulnerabilidad. Se trata de páginas de WordPress, el popular gestor de contenido. Un plugin muy presente en miles de sitios web tiene una vulnerabilidad crítica de ejecución de código remoto. Concretamente se trata de Essential Addons for Elementor. Afecta a las versiones de este complemento sin actualizar.

Vulnerabilidad de inclusión de archivos

Este fallo permite a un atacante sin autorización realizar un ataque de inclusión de archivos locales, como un archivo PHP, y de esta forma poder ejecutar código en ese sitio web y comprometer la seguridad. Hay que tener en cuenta que este plugin es utilizado por cientos de miles de sitios, por lo que son muchos los vulnerables.

Según indican los investigadores de seguridad detrás de este descubrimiento, el requisito para poder realizar el ataque es que el sitio web tenga habilitados determinados widgets, como la galería dinámica y galería de productos. De esta forma no estaría habilitado el token para la verificación.

Hay que tener en cuenta que no es la primera vez que nos encontramos con un problema de este tipo que afecta a los plugins de WordPress. De hecho, siempre hemos recomendado no instalar más de los necesarios, ya que pueden ser una vía de entrada para los atacantes. Es imprescindible tenerlos siempre actualizados, descargarlos de fuentes oficiales y tener una revisión constante para evitar estas vulnerabilidades.

Si un atacante logra explotar un fallo de este tipo, por un lado va a afectar al rendimiento de esa web, a su posicionamiento en los buscadores y a la imagen de la marca. Pero también puede poner en riesgo la seguridad de los visitantes, ya que pueden colar código malicioso que redireccione a páginas fraudulentas, contengan archivos que en realidad son virus, etc.

Cómo corregir este problema

Por suerte, solucionar esta vulnerabilidad y otras muchas similares que puedan comprometer la seguridad de las páginas web es sencillo. Normalmente vamos a encontrarnos con parches y actualizaciones que ayuden a corregir estos fallos. En este caso, los responsables del plugin de WordPress lanzaron diversas actualizaciones hasta que finalmente lograron solventar el problema.

Es por ello que resulta imprescindible tener todo actualizado a la última versión. En este caso hablamos de los plugins de WordPress, pero es algo que debemos aplicar a cualquier otro programa o servicio que usemos en nuestro día a día, ya sea para navegar por Internet, alojar una página web o cualquier otra plataforma que usemos.

En el caso del complemento Essential Addons for Elementor, la versión 5.0.5 corrige esta vulnerabilidad. Si la tienes instalada en tu sitio web es imprescindible que verifiques que cuentas con al menos esa versión instalada y no tener así problemas de seguridad.

Esta vulnerabilidad aún sigue presente en más de 600.000 sitios de WordPress. Se calcula que hay algo más de un millón de sitios que cuentan con este complemento, pero solo 380.000 han instalado las últimas versiones y han corregido la vulnerabilidad. Por tanto, todavía son cientos de miles los que son vulnerables. Es importante que sepas cómo pueden hackearte al navegar y estar protegido.

El artículo Cientos de miles de webs son ahora inseguras se publicó en RedesZone.