Advertencia para todos los usuarios de WordPress que utilizan el plugin de copia de seguridad UpdraftPlus: deben actualizarlo cuanto antes. Se ha descubierto una grave vulnerabilidad de seguridad en UpdraftPlus: WP Backup and Migration Plugin. Esta vulnerabilidad podría afectar a más de 3 millones de sitios web y permitir a los atacantes tomar el control administrativo total sin necesidad de iniciar sesión.
Wordfence, una de las principales empresas de seguridad para WordPress, informó sobre esta vulnerabilidad. Ya hay un parche disponible. Cuanto más tardes en actualizar, más expuesto estará tu sitio.
Qué es UpdraftPlus y por qué tantos sitios web lo utilizan.
UpdraftPlus es una de las herramientas de copia de seguridad de WordPress más populares del mundo. Permite a los usuarios realizar copias de seguridad de sus sitios web, recuperarse de errores y migrar sitios WordPress a otros dominios o servidores. Esta herramienta también puede realizar copias de seguridad de sitios web utilizando diversos servicios en la nube, razón por la cual ya se ha implementado en más de tres millones de sitios web activos.
Debido a su popularidad, cualquier vulnerabilidad encontrada en este complemento representa un objetivo de alto valor para los atacantes. Esto se debe a que una vulnerabilidad de este tipo puede explotarse en numerosos sitios, mientras que otra, con solo miles de instalaciones, no reportaría grandes beneficios al atacante.
Qué hace realmente la vulnerabilidad
La vulnerabilidad afecta a todas las versiones del plugin UpdraftPlus hasta la versión 1.26.4 inclusive. El fallo descrito se denomina Vulnerabilidad de Omisión de Autenticación, pero requiere mayor aclaración debido a su amplio uso. La autenticación es una de las etapas de la interacción entre un plugin y un sitio web, en la que se comprueba si los comandos entrantes provienen de un usuario legítimo autorizado para realizar dichas acciones en el sitio web.
Como su nombre indica, en una vulnerabilidad de omisión de autenticación, los atacantes no necesitan proporcionar un nombre de usuario, contraseña u otras formas de autorización para realizar ciertas funciones. El sistema trata cada comando del atacante como si proviniera de un administrador del sitio con plena autorización.
Este fallo específico se detectó en la función UpdraftPlus_Remote_Communications_V2::wp_loaded. Según explica Wordfence, la vulnerabilidad está relacionada con una validación deficiente del formato de los mensajes de comunicaciones remotas, ya que la firma puede eludirse y la verificación de cifrado fallida se reemplaza por una clave de cifrado cero predecible. En resumen, existe un fallo de programación que conlleva una medida de seguridad deficiente y vulnerabilidades adicionales.
Sin embargo, no todos los sitios que utilizan UpdraftPlus se verán afectados por esta vulnerabilidad. Según el registro de cambios de UpdraftPlus, este fallo solo afecta a los sitios web que utilizan su Clave Migrator (función de pago) o la Clave UpdraftCentral (disponible tanto en la versión gratuita como en la de pago).
Cómo se desarrolla realmente un ataque
Una vez que un atacante elude la autenticación, puede ejecutar comandos de forma remota a través del complemento, y el sistema los ejecutará como si provinieran de un administrador del sitio. Entre los muchos tipos de daños que el atacante puede causar utilizando esta vulnerabilidad, se incluyen el robo de información, la instalación de cualquier tipo de malware, la modificación de los archivos del sitio web, la creación de una puerta trasera, la alteración de la apariencia del sitio web y el uso del servidor comprometido para lanzar un ataque DDoS contra otros sistemas.
Según datos de Wordfence, se han reportado alrededor de 8,172 ataques en tan solo 24 horas aprovechando esta vulnerabilidad. Se desconoce la cantidad exacta de sitios web pirateados, ya que el número de víctimas sigue siendo incierto, pero lo que sí sabemos es que los atacantes están explotando activamente esta vulnerabilidad en este momento.
El parche ya está disponible y la solución es sencilla.
UpdraftPlus ha lanzado la versión 1.26.5 para solucionar este problema. Esto se menciona explícitamente en el registro de cambios del propio plugin, donde los desarrolladores indican que las versiones anteriores presentaban un fallo que permitía a los usuarios con una licencia activa de Migrator o una clave de licencia activa de UpdraftCentral realizar acciones no autorizadas.
El procedimiento de actualización es bastante sencillo. Solo tienes que iniciar sesión en tu panel de administración de WordPress, seleccionar Plugins y, a continuación, UpdraftPlus para actualizarlo a la versión 1.26.5 o posterior. Si administras varios sitios web de WordPress, deberás repetir este proceso para todos ellos.
Qué deben hacer ahora mismo los propietarios de sitios web de WordPress
Además de las actualizaciones de UpdraftPlus, hay otras comprobaciones que quizás quieras realizar mientras tengas acceso.
Lo primero es revisar la lista de plugins activos y eliminar aquellos que no reconozcas o que ya no uses. Si se ha producido alguna brecha de seguridad, podría haber un plugin malicioso en tu sitio web listo para ejecutarse. Por lo tanto, es mejor eliminar dichos plugins que desactivarlos.
En segundo lugar, conviene revisar los usuarios administradores, ya que un ataque de omisión de autenticación puede crear nuevos usuarios sin que usted lo sepa. Si detecta algún usuario desconocido, debe eliminarlo de inmediato y cambiar las contraseñas de todos los administradores existentes.
Por último, si utiliza algún plugin de seguridad, como Wordfence o Sucuri, deberá escanear todo el sitio web. Siempre es recomendable realizar un escaneo del sitio, independientemente de la fecha de la última actualización de UpdraftPlus.
La conclusión principal no se limita a actualizar el plugin, sino que es un claro recordatorio de por qué es importante mantener todos los plugins actualizados. Uno de los puntos de entrada más comunes para los atacantes de WordPress son los plugins desactualizados. Los atacantes aprovechan el tiempo que transcurre entre el lanzamiento de un parche y su aplicación por parte de los propietarios del sitio.
Preguntas frecuentes
P 1: ¿Qué es la vulnerabilidad UpdraftPlus y qué tan grave es?
Se trata de una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados ejecutar comandos como administrador en sitios WordPress afectados. Se clasifica como grave porque no requiere credenciales de inicio de sesión y puede provocar el control total del sitio mediante la ejecución remota de código.
P 2: ¿Qué versiones de UpdraftPlus se ven afectadas?
Todas las versiones, hasta la 1.26.4 inclusive, se ven afectadas. Los usuarios deben actualizar a la versión 1.26.5 o posterior de inmediato.
P 3: ¿Deben preocuparse todos los sitios que tienen UpdraftPlus instalado?
No por igual. La vulnerabilidad afecta específicamente a los sitios que tienen una clave activa de Migrator, una función de pago o una clave activa de UpdraftCentral, disponible tanto en la versión gratuita como en la de pago. Dicho esto, todos los usuarios deberían actualizar de todos modos.
P 4: ¿Qué puede hacer realmente un atacante si explota esta vulnerabilidad?
Un atacante puede falsificar comandos de administrador, cargar y activar un plugin malicioso y ejecutar código directamente en el servidor de alojamiento. Esto puede provocar el robo de datos, la inyección de malware, la alteración del sitio web, la creación de puertas traseras o el uso del sitio para atacar otros objetivos.
P 5: ¿Se ha explotado activamente esta vulnerabilidad?
Sí. Wordfence informó haber bloqueado 8,172 ataques dirigidos a esta vulnerabilidad en un solo período de 24 horas, lo que confirma que los atacantes están intentando explotarla activamente.
P 6: ¿Cómo soluciono esto en mi sitio de WordPress?
Acceda a su panel de WordPress, vaya a Plugins y actualice UpdraftPlus a la versión 1.26.5 o a la última versión disponible. Si administra varios sitios de WordPress, actualícelos todos.
P 7: ¿Qué más debo comprobar además de actualizar el plugin?
Revisa la lista de plugins activos para detectar cualquier elemento desconocido, comprueba tus cuentas de administrador para ver si hay alguna que no reconozcas, cambia las contraseñas de las cuentas de administrador existentes y ejecuta un análisis de seguridad completo utilizando un plugin como Wordfence.
P 8: ¿Qué es la ejecución remota de código y por qué es importante en este caso?
La ejecución remota de código permite que un atacante ejecute código malicioso en su servidor desde cualquier lugar a través de internet. Además, esta vulnerabilidad permite eludir la autenticación, lo que significa que un atacante que la explote podría tomar el control total del sitio web afectado.
P 9: ¿Quién descubrió y reportó esta vulnerabilidad?
La vulnerabilidad fue reportada por Wordfence, una empresa líder en seguridad de WordPress que también realiza un seguimiento de los intentos de ataque activos contra sitios de WordPress.
