Boadica - Notícias - Falta de atualizações deixa blogs do WordPress vulneráveis
Falta de atualizações - algumas vezes até nenhuma - está deixando um grande número de sites do WordPress abertos a exploração em campanhas cibercriminosas, de acordo com uma análise da empresa de consultoria WP WhiteSecurity e EnableSecurity, do Reino Unido.
O estudo com 42.106 sites - listados em um período de três dias no começo do mês - identificou surpreendentes 74 versões do software em uso, com apenas 18,5% atualizadas para a última versão 3.6.1.
O estudo foi realizado em 12 de setembro, apenas um dia após o lançamento da nova versão - mas a prevalência de versões mais antigas ainda é gritante. Um total de 6.859 páginas usavam a versão 3.5.1 (que tem oito vulnerabilidades documentadas); 2.204 usavam a versão 3.4.2 (com 12 vulnerabilidades) e 1.655 usavam a versão 3.5 (com dez vulnerabilidades).
"Isso significa que 73,2% das instalações WordPress mais populares são vulneráveis ​​a brechas que podem ser detectadas usando ferramentas automatizadas livres", disse o relatório. " Para um cracker é necessário apenas dois minutos para executar as ferramentas automatizadas que podem descobrir essas vulnerabilidades e explorá-las."
Parte do problema é o volume de novas versões - liberadas a medida que novas vulnerabilidades são descobertas, que ocorrem além da atenção de alguns usuários para manter o software atualizado.
A necessidade de uma melhor atualização e segurança recebeu mais atenção com a notícia de que uma grande botnet já teria comprometido sites de alto perfil do WordPress de alto perfil - incluindo Mercury Science and Policy do MIT, National Endowment for the Arts (arts.gov), The Pennsylvania State University, e Stevens Institute of Technology - com o intuito de lançar novos ataques.
"Os servidores do WordPress se tornaram apenas mais um alvo fácil para crackers apoiados por Estado, exércitos eletrônicos e extremistas técnicos que acordaram com o pé esquero em um dia qualquer", disse Stephen Gates, evangelista chefe de segurança da Corero Network Security.
"É uma equação simples de matemática. Se você quisesse construir uma botnet que pudesse gerar 100 Gbps de tráfego de ataque usando computadores mais velhos atrás de modens DSL e se cada máquina pudesse gerar modestos 1 Mbps de tráfego de ataque, quantos bots você precisaria para gerar 100Gbps de tráfego? A resposta é de 100 mil máquinas", disse. "Se, em vez disso, você infectasse um grande número de servidores em ambientes de hospedagem e cada servidor pudesse gerar 1 Gbps de tráfego de ataque (que a maioria dos servidores hoje poderia facilmente executar) quanto você precisaria para gerar 100 Gbps de tráfego? A resposta é simples: 100 máquinas. Essa é uma pequena botnet com alguns sérios cavalos de potência."