Atenção a todos os usuários do plugin de backup UpdraftPlus em seus sites WordPress: ele precisa ser atualizado o mais rápido possível. Uma grave vulnerabilidade de segurança foi descoberta no UpdraftPlus: WP Backup and Migration Plugin. Isso pode afetar mais de 3 milhões de sites e permitir que invasores assumam o controle administrativo completo sem precisar fazer login.
A Wordfence, uma das principais empresas de segurança para WordPress, relatou essa falha. Uma correção já está disponível. Quanto mais tempo você demorar para atualizar, mais exposto seu site ficará.
O que é o UpdraftPlus e por que tantos sites o utilizam?
O UpdraftPlus é uma das ferramentas de backup para WordPress mais populares do mundo. Ele permite que os usuários façam backup de seus sites, recuperem-se de erros e migrem sites WordPress para outros domínios ou servidores. Essa ferramenta também pode fazer backup de sites usando diversos serviços em nuvem, e é por isso que já foi implementada em mais de três milhões de sites ativos.
Devido à sua popularidade, qualquer vulnerabilidade encontrada neste plugin é um alvo valioso para atacantes. Isso porque tal vulnerabilidade pode ser explorada em inúmeros sites, enquanto outra pode ter apenas milhares de instalações e não beneficiar muito o atacante.
O que a vulnerabilidade realmente faz
A vulnerabilidade afeta todas as versões do plugin UpdraftPlus até a versão 1.26.4, inclusive. A falha descrita é conhecida como Vulnerabilidade de Bypass de Autenticação, mas requer esclarecimentos adicionais, visto que é amplamente utilizada. A autenticação é uma das etapas durante a interação entre um plugin e um website, na qual se verifica se os comandos recebidos provêm de um usuário legítimo, autorizado a executar essas ações no website.
Como o próprio nome sugere, em uma falha de bypass de autenticação, os atacantes não precisam fornecer nome de usuário, senha ou outras formas de autorização para executar determinadas funções. O sistema trata cada comando do atacante como se viesse de um administrador do site totalmente autorizado.
Essa falha específica foi encontrada na função UpdraftPlus_Remote_Communications_V2::wp_loaded. Conforme explicado pela Wordfence, a vulnerabilidade está associada a uma validação inadequada do formato das mensagens de comunicação remota, visto que a assinatura pode ser burlada e a falha na verificação de criptografia é substituída por uma chave de criptografia zero previsível. Em outras palavras, há uma falha de programação que resulta em uma medida de segurança inadequada e em outras vulnerabilidades.
No entanto, nem todos os sites que usam o UpdraftPlus serão afetados por essa vulnerabilidade. De acordo com o próprio changelog do UpdraftPlus, essa falha se aplica apenas a sites que usam a Chave de Migração (recurso pago) ou a Chave do UpdraftCentral (tanto gratuita quanto paga).
Como um ataque realmente acontece
Uma vez que um atacante burle a autenticação, ele pode executar comandos remotamente através do plugin – e o sistema os executará como se viessem de um administrador do site. Entre os muitos tipos de danos que o atacante pode causar usando essa vulnerabilidade, alguns incluem roubo de informações, instalação de qualquer tipo de malware, modificação dos arquivos do site, criação de uma porta dos fundos, desfiguração do site e uso do servidor comprometido para lançar um ataque DDoS contra outros sistemas.
Segundo dados da Wordfence, foram relatados cerca de 8,172 ataques em apenas 24 horas, explorando essa vulnerabilidade específica. Não se sabe exatamente quantos sites foram invadidos, pois o número de vítimas permanece desconhecido, mas sabemos que os atacantes estão ativamente buscando essa vulnerabilidade neste momento.
A atualização já está disponível e a solução é simples.
A versão 1.26.5 foi disponibilizada pela UpdraftPlus para corrigir esse problema. Isso é mencionado explicitamente no changelog do próprio plugin, onde os desenvolvedores afirmam que as versões anteriores apresentavam uma falha que permitia que usuários com uma licença Migrator ativa ou uma chave de licença UpdraftCentral ativa realizassem ações não autorizadas.
O procedimento de atualização é bastante simples. Basta acessar o painel de administração do WordPress, selecionar Plugins e, em seguida, selecionar UpdraftPlus para atualizá-lo para a versão 1.26.5 ou posterior. Se você administra vários sites WordPress, esse processo precisa ser repetido para todos os sites que você gerencia.
O que os proprietários de sites WordPress devem fazer agora mesmo
Além das atualizações do UpdraftPlus, existem algumas outras verificações que você pode querer realizar enquanto tiver acesso.
A primeira medida é verificar a lista de plugins ativos e remover aqueles que você não reconhece ou não utiliza mais. Caso tenha ocorrido alguma violação de segurança, pode haver um plugin malicioso em seu site, pronto para ser executado. Portanto, é melhor excluir esses plugins do que desativá-los.
A segunda coisa a fazer é verificar seus usuários administradores, pois o ataque de bypass de autenticação pode levar à criação de novos usuários administradores dos quais você não tem conhecimento. Caso encontre algum usuário desconhecido, você deve excluí-lo imediatamente e alterar as senhas de todos os usuários administradores existentes.
Por fim, se você utiliza algum plugin de segurança, como o Wordfence ou o Sucuri, é necessário realizar uma varredura completa do site. É sempre recomendável executar uma varredura do site, independentemente de quão recente tenha sido a última atualização do UpdraftPlus.
A principal conclusão aqui não se resume apenas à atualização do plugin, mas sim a um forte lembrete da importância de manter todos os plugins atualizados. Um dos pontos de entrada mais comuns para ataques ao WordPress são os plugins desatualizados. Os atacantes exploram ativamente a lacuna entre o lançamento de uma correção e a sua aplicação pelos proprietários dos sites.
Perguntas frequentes
Pergunta 1: O que é a vulnerabilidade UpdraftPlus e qual a sua gravidade?
Trata-se de uma vulnerabilidade de bypass de autenticação que permite que atacantes não autenticados executem comandos como administradores em sites WordPress afetados. É classificada como grave porque não requer credenciais de login e pode levar à tomada total do controle do site por meio da execução remota de código.
Pergunta 2: Quais versões do UpdraftPlus são afetadas?
Todas as versões até a versão 1.26.4, inclusive, são afetadas. Os usuários devem atualizar imediatamente para a versão 1.26.5 ou posterior.
P 3: Todos os sites com UpdraftPlus instalado precisam se preocupar?
Não da mesma forma. A vulnerabilidade afeta especificamente sites que possuem uma chave Migrator ativa, um recurso pago ou uma chave UpdraftCentral ativa, disponível tanto na versão gratuita quanto na paga. Dito isso, todos os usuários devem atualizar, independentemente da versão.
Q 4: O que um atacante pode realmente fazer se explorar essa falha?
Um atacante pode forjar comandos de nível administrativo, carregar e ativar um plugin malicioso e executar código diretamente no servidor de hospedagem. Isso pode resultar em roubo de dados, injeção de malware, desfiguração do site, criação de backdoors ou uso do site para atacar outros alvos.
Q 5: Esta vulnerabilidade foi explorada ativamente?
Sim. A Wordfence relatou ter bloqueado 8,172 ataques direcionados a essa vulnerabilidade em um único período de 24 horas, confirmando que os atacantes estão tentando explorá-la ativamente.
Pergunta 6: Como posso corrigir isso no meu site WordPress?
Acesse o painel do WordPress, navegue até Plugins e atualize o UpdraftPlus para a versão 1.26.5 ou a versão mais recente disponível. Se você gerencia vários sites WordPress, atualize todos eles.
P 7: O que mais devo verificar além de simplesmente atualizar o plugin?
Analise a sua lista de plugins ativos para verificar se há algum plugin desconhecido, verifique as suas contas de administrador em busca de algum que não reconheça, altere as senhas das contas de administrador existentes e execute uma verificação de segurança completa usando um plugin como o Wordfence.
Q 8: O que é execução remota de código e por que isso é importante neste contexto?
A execução remota de código significa que um invasor pode executar código malicioso em seu servidor de qualquer lugar da internet. Combinada com a falha de autenticação presente nessa vulnerabilidade, significa que um invasor que explore essa falha pode potencialmente assumir o controle total do site afetado.
Pergunta 9: Quem descobriu e relatou essa vulnerabilidade?
A vulnerabilidade foi relatada pela Wordfence, uma empresa líder em segurança do WordPress que também monitora tentativas de ataque ativas contra sites WordPress.
