Niente pesci d’aprile per WordPress, ma seri problemi di sicurezza

Aprile sembra essere un mese travagliato per WordPress. La nota piattaforma di content management system deve infatti fronteggiare la seconda vulnerabilità individuata in pochi giorni. Dopo i problemi legati all’estensione Super Cache, svelati al mondo tre settimane fa, è stata infatti scoperta una falla inerente ai commenti. Per l’esattezza, la piattaforma sarebbe vulnerabile ad attacchi di cross-site scripting in caso un hacker inserisse righe di codice JavaScript maligno nel campo commenti. Queste vulnerabilità, molto comuni su siti Web dinamici, permettono l’esecuzione di comandi arbitrari da remoto e possono mettere a serio rischio sia la stabilità del sistema che la privacy degli utenti.

La falla è stata scoperta da Jouko Pynnönen di Klikki Oy, una società di sicurezza finlandese. La buona notizia è che WordPress ha già rilasciato un aggiornamento del suo Cms, invitando tutti i possessori di account a effettuare l’upgrade alla versione 4.2.1.

Il bug scoperto da Pynnönen permette agli hacker, come detto, di inserire codice maligno nei commenti: questo è in grado di attivarsi in automatico non appena l’amministratore del sito visualizza il form, sfruttando gli editor di temi e plugin. Il codice JavaScript conferisce all’attaccante anche il potere di cambiare la password di accesso, creare nuovi account di amministrazione e manipolare il contenuto dei siti. Per fortuna, però, la vulnerabilità almeno non sembra riguardare i normali lettori.

WordPress è la piattaforma di "editoria personale" più utilizzata al mondo: secondo stime della stessa società, il 23,8% dei siti attualmente online è realizzato proprio con questo sistema. Ma non necessariamente è uno dei più sicuri, né uno dei più veloci a risolvere le falle individuate da ricercatori e sviluppatori. A novembre 2014, hacker russi infettarono oltre centomila siti con il malware SoakSoak, mentre lo scorso 21 aprile la società ha finalmente chiuso un altro “buco”, segnalato inizialmente dalla comunità Web a febbraio 2014. Dopo, cioè, ben quattordici mesi.