Los hackers comienzan a aprovechar una vulnerabilidad crítica de WordPress para ejecutar código

Cier­tos pi­ra­tas in­for­má­ti­cos han pa­sa­do de rea­li­zar la­bo­res de ex­plo­ra­ción en si­tios de Word­Press vul­ne­ra­bles a ex­plo­tar ac­ti­va­men­te una falla para guar­dar ar­chi­vos en el disco que eje­cu­tan co­man­dos de shell al ser con­sul­ta­dos. Los pri­me­ros ras­tros de ata­ques con­sis­tie­ron úni­ca­men­te en ta­reas de re­co­no­ci­mien­to y se re­gis­tra­ron poco des­pués de que se lan­za­ra un par­che, mo­men­to en el cual la ac­ti­vi­dad ma­li­cio­sa se mul­ti­pli­có con­si­de­ra­ble­men­te mien­tras los agre­so­res bus­ca­ban en­viar car­gas úti­les.

El fallo de se­gu­ri­dad con­sis­te en un error de re­co­rri­do de rutas sin au­ten­ti­ca­ción que puede de­ri­var en la eje­cu­ción re­mo­ta de có­di­go bajo cir­cuns­tan­cias es­pe­cí­fi­cas, y ha re­ci­bi­do una ca­li­fi­ca­ción de gra­ve­dad crí­ti­ca por parte del equi­po de se­gu­ri­dad de Word­Press. Para que se logre la eje­cu­ción de có­di­go, se re­quie­re que la te­má­ti­ca ac­ti­va posea una car­pe­ta prin­ci­pal cuyo nom­bre co­mien­ce con un tér­mino de­ter­mi­na­do y que exis­ta un ar­chi­vo local le­gi­ble por el ser­vi­dor, de­ta­llan­do el aviso ofi­cial con­fi­gu­ra­cio­nes con­cre­tas que re­sul­tan vul­ne­ra­bles.

Como res­pues­ta al pro­ble­ma, se li­be­ró una ac­tua­li­za­ción y se apli­ca­ron co­rrec­cio­nes re­tro­ac­ti­vas en dis­tin­tas ver­sio­nes an­te­rio­res, con la sal­ve­dad de que las edi­cio­nes muy an­ti­guas no re­ci­bi­rán este par­che. Las in­ves­ti­ga­cio­nes sobre el com­por­ta­mien­to de los ata­can­tes mues­tran que em­plean se­cuen­cias de re­co­rri­do de rutas do­bles co­di­fi­ca­das, in­tro­du­cen ar­chi­vos con eti­que­tas para ve­ri­fi­car la vul­ne­ra­bi­li­dad o eje­cu­tar co­man­dos y guar­dan ele­men­tos en di­rec­to­rios tem­po­ra­les, lo que mo­ti­va la re­co­men­da­ción de ac­tua­li­zar el sis­te­ma de forma prio­ri­ta­ria y re­vi­sar los re­gis­tros en busca de ano­ma­lías.