Portada Wordpress Plugin WP Database Backup Hackeado – WordPress
Si eres usuario de WordPress y sigues este blog habitualmente, sabrás que, últimamente, han habido problemas de seguridad con algunos plugins.
Hoy tenemos que sumar uno más a la lista, el plugin WP Database Backup ha sido hackeado o más bien ha sido detectada una vulnerabilidad.
Esto quiere decir que no se ha detectado ningún caso en ningún usuadio, pero la vulnerabilidad existe y si eres uno de los usuarios del plugin WP Database Backup, tendrás que tomar cartas en el asunto para no verte afectado.
Si eres uno de los usuarios deñ plugin WP Database Backup, lo primero que tienes que hacer, incluso antes de seguir leyendo este articulo, es actualizarlo lo antes posible.
Las versiones anteriores a la 5.2 del plugin están en peligro, aunque actualmente ya está liberada la versión 5.3.
Para comprobar esto solo tienes que acceder a la sección de plugins de tu WordPress y si ves un mensaje para actualizar el plugin, simplemente actualízalo.
Una vez hayas actualizado el plugin, por seguridad, deberías cambiar las contraseñas de las bases de datos, de las que el plugin se encargara de hacer las copias de seguridad.
Como hemos comentado antes, no se ha detectado ningún caso, pero más vale prevenir que curar, ya sabes…
Una de las características del plugin WP Database Backup, era enviar una copia del backup de la base de datos por correo electónico.
Esto es algo muy habitual en los plugins de este tipo. Se hace un backup y se sube a un servidor externo, tipo Dropbox, Google Drive, etc…, de esta manera, si el servidor sufre un problema serio, tenemos una copia en otro servidor para poder restaurar nuestra web.
Actualiza el plugin WP Database Backup cuanto antes.
Si la base de datos no es muy extensa, otra de las opciones es enviar la copia por correo electrónico, así tenemos localizadas las copias de seguridad por fechas en nuestra cuenta de correo, (Gmail, Outlook, etc…)
La vulnerabilidad del plugin WP Database Backup permitía a un atacante incluir una dirección de correo alternativa para recibir una copia del backup.
Es decir, que cada vez que el plugin realizara un backup, se la enviaría por correo electrónico al atacante.
En las bases de datos de WordPress podemos encontrar mucha información relevante y confidencial del sitio y podemos tener serios problemas.
Además de esto, el plugin WP Database Backup permitía excluir tablas de las copias de seguridad de la base de datos.
Si esta opción se ejecutaba, un atacante podría usar esto para aprovechar otra vulnerabilidad e incluir un PHP malicioso, que se ejecutaría cada vez que se realizara una copia de seguridad, ya fuera de forma automática o manual.
Esto incluiría un archivo PHP con condigo malicioso en nuestro hosting cada vez que se realizar un backup, es decir, que tendríamos el mismo problema de seguridad una otra vez…
Existen investigadores de seguridad que se dedican a revisar plugins, themes, CMS, módulos o cualquier tipo de software en busca de errores, vulnerabilidades, etc…
No tienen porque trabajar para nadie, pueden ser consultores externos o simplemente entusiastas del código que buscan reconocimiento.
Existe una regla no escrita, si un investigador detecta una vulnerabilidad en cualquier código, avisa al desarrollador y le da un tiempo prudencial para que puede solucionarlo y «parchearlo».
En este caso, el investigador sin nombre publicó una prueba de concepto explicando cómo poder usar la vulnerabilidad del plugin WP Database Backup sin avisar antes al desarrollador.
Esto es muy peligroso, ya que en este caso le estás dando a los atacantes la hoja de ruta para poder hackear multitud de sitios, sin darle la posibilidad al desarrollador de solucionar el problema y pudiendo afectar así a miles de usuarios.
Por suerte el desarrollador fue avisado por el popular plugin de seguridad Wordfence «Instalar Wordfence en WordPress» para WordPress y solucionó el problema en un par de días.
Desde luego, no es la mejor forma de actuar por parte del investigador, ya que puso en peligro a los más de 70 mil WordPress que tienen este plugin instado y activo.
En Hostinet disponemos de un sistema de seguridad que escanea todos los hosting en busca de algún malware instalado en ellos.
Por ejemplo, en el caso de Wp Database Backup, nuestro sistema de seguridad no puede detectar que se envíe una copia de seguridad a una cuenta de email, ya que forma parte intrínseca del plugin, pero si un atacante aprovecha la vulnerabilidad para incluir PHP malicioso, si que sería detectado y aislado.
Además, te avisaríamos en seguida para que pudieras resolver el problema lo antes posible y tu sitio web.
Así que si estás buscando un buen hosting WordPress SSD, estas son algunas de las opciones que podemos ofrecerte: