Más de 440 000 intentos de explotación se dirigen a vulnerabilidades de Super Forms y Elementor Pro que permiten la ejecución remota de código (RCE)

Pi­ra­tas in­for­má­ti­cos están apro­ve­chan­do dos fa­llos crí­ti­cos de se­gu­ri­dad en los com­ple­men­tos de Word­Press Super Forms y Ele­men­tor Pro, según des­cu­bri­mien­tos de Word­fen­ce. Ambas vul­ne­ra­bi­li­da­des per­mi­ten que ata­can­tes sin au­ten­ti­ca­ción car­guen ar­chi­vos eje­cu­ta­bles PHP, lo que fa­ci­li­ta la eje­cu­ción re­mo­ta de có­di­go. Estas fa­llas pue­den ser uti­li­za­das para in­tro­du­cir una puer­ta tra­se­ra web en PHP, eje­cu­tar co­man­dos ar­bi­tra­rios, ex­traer in­for­ma­ción o tomar el con­trol ab­so­lu­to del sitio afec­ta­do.

En los ata­ques di­ri­gi­dos a Super Forms, los agre­so­res en­vían so­li­ci­tu­des HTTP POST uti­li­zan­do un punto final es­pe­cí­fi­co con car­gas úti­les co­di­fi­ca­das en for­ma­to Base64. Por otro lado, las agre­sio­nes con­tra Ele­men­tor Pro se pro­du­cen cuan­do se envía el campo de carga de ar­chi­vos como una ma­triz con una es­truc­tu­ra que evade las va­li­da­cio­nes, per­mi­tien­do guar­dar el ar­chi­vo ma­li­cio­so en un di­rec­to­rio es­pe­cí­fi­co bajo un nom­bre ge­ne­ra­do de forma alea­to­ria para eje­cu­tar co­man­dos de ma­ne­ra di­rec­ta.

Word­fen­ce ha blo­quea­do cien­tos de miles de in­ten­tos de ex­plo­ta­ción di­ri­gi­dos a ambas vul­ne­ra­bi­li­da­des y ha re­gis­tra­do di­rec­cio­nes IP es­pe­cí­fi­cas desde donde se han ori­gi­na­do estas ac­ti­vi­da­des ma­li­cio­sas. Ante esta si­tua­ción, se re­co­mien­da a los ad­mi­nis­tra­do­res de los si­tios de Word­Press apli­car los par­ches co­rres­pon­dien­tes de in­me­dia­to, exa­mi­nar sus pla­ta­for­mas en busca de in­di­cios de com­pro­mi­so y re­vi­sar la exis­ten­cia de ar­chi­vos con ex­ten­sión PHP que hayan sido mo­di­fi­ca­dos re­cien­te­men­te o que re­sul­ten sos­pe­cho­sos.