WP File Manager: si empleas este plugin, debes actualizarlo ya – MuySeguridad

Check Point Software se consolida en el sector de la ciberseguridad con los datos del tercer trimestre
Cisco Security Cloud: una plataforma para unirlas a todas
Akamai anuncia una nueva plataforma de defensa contra ataques DDoS
La ciberseguridad de Taiwán en el punto de mira de EEUU y China
Google anuncia KataOS, un sistema operativo centrado en la seguridad y los sistemas embebidos
10 antivirus de rescate gratuitos contra malware en Windows
Follina, la nueva pesadilla de Windows y Office
Ciberguerra Ucrania-Rusia: los frentes digitales
El peligro para Europa de la ciberguerra en Ucrania
Cómo reforzar la seguridad en Internet
«En los últimos años, la superficie de ataque ha cambiado por completo»
«Siempre estamos buscando nuevas formas de mejorar la seguridad de nuestros productos y servicios»
«Con esta alianza ofrecemos al mercado una solución integral de seguridad»
«Es de esperar que sigan aumentando los intentos de ciberataque a las empresas»
«Las soluciones SD-WAN simplifican y automatizan el despliegue y la operación»
Los 5 mejores consejos para la recuperación proactiva ante desastres de Active Directory
Soluciones EDR, seguridad endpoint y productividad
Llegan las amenazas internas: cómo controlar una plantilla híbrida
Cuando se trata de proteger los datos, conoce a tu enemigo
¿Qué es el Directorio Activo y por qué es un blanco fácil para los hackers?
Tianfu Cup 2021: hackean Windows 10, iOS 15, Ubuntu 20, Chrome y otros
Microsoft te muestra el camino para el desarrollo seguro de apps en la nube
Pwn2Own 2021: no hay ningún software que resista al hackeo
Cómo securizar las organizaciones en cualquier lugar
Sophos Evolve: tu cita con la seguridad informática
Cómo deshabilitar la webcam cuando no la uses y evitar que te espíen
Así funciona el nuevo DoNotSpy11 para mejorar la privacidad de Windows 11
Nuevo Tails, ideal para los que buscan privacidad y seguridad
Cómo evitar que el Black Friday 2021 se convierta en el Black… Fraude
Ocho consejos contra ataques de phishing que cualquier usuario puede seguir
Wallix Bastion 9 refuerza la seguridad de las cuentas privilegiadas en todo tipo de escenarios
HP refuerza la seguridad de sus equipos con HP Wolf Security
La hoja de ruta de DevOps en materia de seguridad
Cómo proteger el eslabón «clave» de la cadena: los MSP
Ponte al día en Ciberseguridad con la nueva campaña divulgativa de INCIBE
Publicado el
por
Aunque, por sí mismo, WordPress ya es un CMS muy completo, es indudable que gracias a plugins como WP File Manager, sus posibilidades crecen exponencialmente. Tanto si administras un sitio web con WordPress, como si alguna vez has sentido curiosidad y has explorado el catálogo de complementos existentes, sabrás que hablamos de una lista prácticamente interminable, y en la que es posible encontrar plugins para, prácticamente, cualquier función que se te pueda pasar por la cabeza.
Esto, no obstante, tiene un aspecto bastante menos positivo, y es que cualquier problema de seguridad en un plugin puede comprometer (y normalmente lo hace) la seguridad de todo el sitio web. Es por esto que siempre se aconseja emplear el mínimo número posible de plugins, actualizarlos de manera constante y desinstalar aquellos que ya no empleemos. Y es que, incluso desactivados, ofrecen más superficie de exposición. Unas prácticas que, por unas razones u otras, no siempre se llevan a rajatabla.
MS Recomienda
El problema es que esto es algo muy sabido por los ciberdelincuentes, que tal y como tienen conocimiento de un fallo de seguridad en un plugin, más aún si es uno popular, llevan a cabo escaneos masivos de la web, en busca de instalaciones de WordPress que tengan el plugin comprometido, con el fin de explotar esa vulnerabilidad de inmediato. Y eso es exactamente lo que está pasando con WP File Manager.
Con más de 700.000 instalaciones activas, como podemos comprobar en su página de descarga, WP File Manager es, su propio nombre lo indica, un gestor de archivos que nos permite prescindir, para muchas operaciones, del tradicional cliente de FTP que empleamos para subir y bajar archivos, modificar permisos, borrar, comprimir y descomprimir… Una herramienta muy práctica, ya que permite centralizar la gestión del sitio en el propio CMS, sin tener que utilizar herramientas adicionales.
El problema es que un fallo de seguridad, detectado en versiones anteriores del mismo, permite a un atacante subir al servidor archivos de imagen que, en realidad, contienen webshells. Así, con estos elementos ya cargados, y accediendo a los mismos de manera remota, pueden subir nuevos scripts a la carpeta de instalación de WP File Manager. Scripts con los que sí que podrán realizar acciones en otras carpetas, comprometiendo así la seguridad global del sitio.
NinTechNet, una empresa de seguridad de sitios web en Bangkok, Tailandia, fue una de las primeras en informar sobre ataques in the wild basados en esta vulnerabilidad de WP File Manager. Según su investigación, un atacante estaba explotando la vulnerabilidad para cargar un script llamado hardfork.php, que luego empleaba para inyectar código en los scripts de WordPress /wp-admin/admin-ajax.php y /wp-includes/user.php.
Puesta esta vulnerabilidad en conocimiento de los desarrolladores del plugin, estos han publicado la versión 6.9 del plugin, que corrige el fallo de seguridad, haciendo que WP File Manager vuelva a ser un complemento seguro. No se conocen, al menos de momento, parches para solucionar el problema en versiones anteriores, por lo que cualquier administrador de WordPress que emplee este plugin, debe revisar con qué versión cuenta actualmente y, de no ser la más reciente, actualizarlo de inmediato.
Parlamento noruego: víctima de un ataque
Banorte: ¿Qué le está pasando a sus clientes?
Si me dieran una cana por cada contenido que he escrito relacionado con la tecnología… pues sí, tendría las canas que tengo. Por lo demás, música, fotografía, café un eReader a reventar y una isla desierta. ¿Te vienes?
¿Qué alternativas tienes para crear una página web?
Vulnerabilidades en complementos de WordPress afectan a más de 7 millones de sitios web
Discount Rules para WooCommerce, tercera actualización en un mes
Vulnerabilidad crítica en el plugin de Google para WordPress
WordPress en el punto de mira
WooCommerce, objetivo de un nuevo skimmer
La ciberseguridad de Taiwán en el punto de mira de EEUU y China
Akamai anuncia una nueva plataforma de defensa contra ataques DDoS
Los 5 mejores consejos para la recuperación proactiva ante desastres de Active Directory
Check Point Software se consolida en el sector de la ciberseguridad con los datos del tercer trimestre
Copyright © Total Publishing Network S.A. 2022 | Todos los derechos reservados

source

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *