Un nuevo problema de seguridad afecta a WordPress y ha puesto en riesgo más de 70.000 páginas web. Se trata de un plugin hackeado en 2020, como ha informado Austin Ginder, fundador del proveedor de alojamiento de WordPress Anchor, en una publicación con fecha de 28 de abril. Allí explica que se trata del complemento Quick Page/Post Redirect, al cual se le agregó una puerta trasera oculta hace ya varios años.
Este problema permite inyectar código arbitrario en los sitios web afectados. Son decenas de miles las páginas que se han visto afectadas, ya que se trata de un plugin bastante popular. Detectó este problema después de que una serie de sitios web de su propiedad activaran una alerta de seguridad.
Decenas de miles de sitios de WordPress en peligro
Hay que mencionar que este complemento, Quick Page/Post Redirect, está disponible en WordPress.org desde hace varios años. Sirve para crear redireccionamientos en publicaciones, páginas y URL personalizadas. Aunque han retirado, al menos temporalmente, este plugin, son muchos quienes lo tienen instalado.
Por el momento, se desconoce si este plugin ha sido malicioso desde los orígenes o, por el contrario, un atacante ha introducido esta puerta trasera. Lo que sí se sabe, como ha confirmado Austin Ginder, es que este problema afecta a las versiones oficiales del complemento 5.2.1 y 5.2.2, que fueron lanzadas entre 2020 y 2021.
Estas versiones incluían un mecanismo de actualización automática oculto que apuntaba a un dominio de terceros, anadnet[.]com, el cual que permitía enviar código arbitrario fuera del control de WordPress.org. En el mes de febrero de 2021, el autoactualizador malicioso se eliminó de versiones posteriores del complemento en WordPress.org, antes de que los revisores de código tuvieran la oportunidad de examinarlo.
Más tarde, en marzo de 2021, según Ginder, los sitios que ejecutaban Quick Page/Post Redirect 5.2.1 y 5.2.2 recibieron silenciosamente una compilación 5.2.3 manipulada de ese servidor externo, que introdujo una puerta trasera pasiva. Esto es lo que permitiría la ejecución de código arbitrario.
Problema presente en muchas páginas
Este mecanismo malicioso, todavía está presente en todas las páginas que tengan instalado este complemento. No obstante, está inactivo porque el subdominio externo malicioso de comando y control no se resuelve, pese a que el dominio sí está activo.
Si tienes una página web, y utilizas este plugin, la solución pasa por eliminarlo lo antes posible. Una vez esté disponible la versión 5.2.4 procedente de WordPress.org, podrías instalarla para seguir utilizándolo de forma segura. Este investigador ha advertido de que hay más de 70.000 páginas que tienen este complemento, por lo que el problema es importante.
Podemos decir que afecta a sitios web de todo tipo. Esto incluye blogs personales, páginas empresariales, tiendas online… Cualquier sitio que tenga instalado este plugin, podría estar comprometido. Mucha gente instala complementos de este tipo sin llevar a cabo una auditoría real. Existe un exceso de confianza y eso puede suponer un riesgo para la seguridad de las páginas web.
Ten en cuenta que un plugin podría cambiar sin que los usuarios se den cuenta. Una simple actualización, podría contener software malicioso. Por ello, lo ideal es reducir el número de complementos instalados, al igual que no recomendamos tener muchas extensiones en el navegador.