Um trio de vulnerabilidades zero-day em plugins do WordPress deixou 160 mil sites expostos a ataques na última semana.
O termo zero-day é usado para descrever uma ameaça que não foi corrigida ou que ainda não se tornou pública. Só que no caso do WordPress, os sites estavam suscetíveis a ataques, porque um investigador de segurança divulgou as falhas publicamente antes de serem corrigidas.
Os plugins Yuzo Related Posts e Yellow Visual Pencil Customizer para WordPress, que são usados por 60 mil e 30 mil sites respetivamente, foram atacados depois de as falhas nos seus códigos terem sido reveladas.
Assim que a informação começou a circular pela internet, os dois plugins foram removidos da plataforma do WordPress. Enquanto o Yellow Pencil emitiu um patch três dias depois de a vulnerabilidade ser divulgada, o Yuzo Related Posts permanece indisponível e nenhum patch foi desenvolvido.
Já o plugin Social Warfare, que é usado em 70 mil sites, foi atingido com exploits depois de falhas de segurança no seu código serem expostas publicamente. O exploit é uma sequência de comandos ou dados elaborados por hackers que consegue causar um comportamento acidental ou imprevisto na execução de um software ou hardware.
Para fins maléficos, um exploit pode dar ao hacker o controle do sistema de um computador, permitindo a execução de determinados processos por meio de acesso não autorizado. Diferente de outros meios de disseminação de vírus e ataques informáticos, um exploit não precisa que o usuário clique num determinado link ou faça o download para a execução de algum arquivo.
Os desenvolvedores do plugin Social Warfare corrigiram a falha rapidamente, mas os sites que o utilizavam já haviam sido hackeados.
Vulnerabilidades de plugins
Todos os três plugins vulneráveis foram invadidos para redirecionar os visitantes a sites que exibiam golpes de suporte técnico e outros tipos de fraudes online.
As falhas de segurança foram divulgadas pelo site Plugin Vulnerabilities, que publicou posts a explicar detalhadamente as vulnerabilidades, incluindo informações técnicas que os hackers usaram para atacar os plugins.
Quando as falhas do Yellow Visual Pencil Visual Theme e Social Warfare foram reveladas, estas foram exploradas por hackers numa questão de horas. As vulnerabilidades, entretanto, estavam no código dos plugins há 11 dias.
O investigador de segurança em vulnerabilidades de plugins, responsável pela publicação dos posts, explicou a decisão ao site Ars Technica. “A nossa política de divulgação é divulgar completamente as vulnerabilidades e, em seguida, tentar notificar o desenvolvedor”.
Neste caso, ele conta que publicou as vulnerabilidades zero-day no seu próprio site depois de as publicações que alertavam sobre as falhas foram removidas do Fórum de Suporte do WordPress por violar as regras da plataforma.
[sc name=”assina2″ by=”ZAP” url=”https://canaltech.com.br/hacker/hackers-invadem-160-mil-sites-do-wordpress-apos-site-detalhar-falhas-em-plugins-137325/” source=”Canaltech” url2=”https://www.techradar.com/news/security-researcher-exposes-zero-day-wordpress-vulnerabilities” source2=”Tech Radar”]
