Il mondo di WordPress, una delle piattaforme di pubblicazione di siti web più popolari al mondo, è stato recentemente scosso da una scoperta che potrebbe compromettere la sicurezza di milioni di siti. Secondo un report diffuso da Wordfence, un’azienda specializzata in soluzioni di sicurezza per WordPress, è stata individuata una vulnerabilità estremamente grave in un plugin comunemente utilizzato.
La vulnerabilità ha ricevuto una valutazione di criticità di 9,8 su 10, il che la rende tra le minacce più gravi per i siti che utilizzano questo sistema di gestione dei contenuti. Il plugin in questione si chiama Really Simple Security, e la scoperta della falla di sicurezza riguarda le versioni dalla 9.0.0 alla 9.1.1. Nonostante il nome sembri promettere una sicurezza “semplice” e senza fronzoli, la vulnerabilità permette a un attaccante di bypassare l’autenticazione del sito senza dover fornire alcuna credenziale di accesso.
In pratica, l’unica informazione di cui ha bisogno l’hacker per penetrare nel sistema è il nome utente di un account. Se l’attaccante riesce a ottenere un nome utente di un account con privilegi di amministratore, le potenzialità di danno sono enormi. Questa vulnerabilità è una Authentication Bypass, il che significa che il sistema di autenticazione può essere aggirato, mettendo a rischio l’intero sito.
Un aspetto ironico di questa scoperta è che la falla è in grado di compromettere la sicurezza anche se è attiva una delle tecniche di protezione più diffuse e ritenute sicure: l’autenticazione a due fattori (2FA). Sebbene la 2FA rappresenti una delle misure di sicurezza più efficaci per prevenire l’accesso non autorizzato, in questo caso non è sufficiente a proteggere gli utenti, poiché la vulnerabilità permette di aggirare completamente il processo di autenticazione. Really Simple Security è una plugin progettata per migliorare la sicurezza di WordPress, e come suggerisce il nome, mira a offrire una protezione semplice e modulare.
Con oltre 4 milioni di installazioni attive, il plugin è estremamente diffuso, e l’esistenza di una vulnerabilità così critica in una plugin tanto utilizzata solleva preoccupazioni significative sulla sicurezza di un ampio numero di siti web. Fortunatamente, gli sviluppatori di Really Simple Security sono stati avvisati tempestivamente del problema, e hanno rilasciato una patch correttiva nella versione 9.1.2 del plugin, che risolve la vulnerabilità. Gli utenti sono quindi fortemente invitati ad aggiornare immediatamente alla versione più recente per proteggere i loro siti da potenziali attacchi.
Questo incidente segna la seconda volta in meno di un mese che viene scoperta una vulnerabilità critica in un plugin di WordPress, dopo quella riguardante un’altra plugin con oltre 27 milioni di installazioni. Questo evidenzia come, nonostante la popolarità di WordPress e la vasta community di sviluppatori, la sicurezza rimanga un tema cruciale e che la vigilanza continui a essere necessaria per prevenire attacchi informatici.