86% de los Wordpress vulnerables a ataques masivos (Parchea!)

Basado en estadísticas sobre el uso actual de WordPress, la vulnerabilidad podría afectar hasta un 86% por ciento de los sitios basados en WordPress (aproximadamente 10 millones de sitios).
La vulnerabilidad, descubierta por Jouko Pynnonen, permite a un atacante crear un comentario en un blog e incluir código JavaScript persistente y malicioso en él. En los sitios que permiten comentarios sin autenticación -ajuste predeterminado de WordPress- esto permite a cualquiera dejar scripts maliciosos en los comentarios.
La vulnerabilidad se encuentra en la forma en que se evalúan las regular expression de los tags HTML/JS admitidos en los comentarios HTML/JS en wp-includes/formatting.php.
Klikky Oy desarrolló una prueba de concepto del ataque y fue capaz de secuestrar la sesión del administrador de un sitio cualquiera de WordPress, crear una nueva cuenta administrativa, cambiar la contraseña administrativa actual y ejecutar código malicioso PHP en el servidor. Eso significa que un atacante podría bloquear el administrador existente del sitio y secuestrar la instalación de WordPress con fines maliciosos.
La versión actual de WordPress 4.x, lanzada en septiembre, no es vulnerable al ataque. ¡Actualiza! o aplica el Workaround propuesto aquí para WordPress 3.x.
Exploit remoto para WordPress WP-Backup Plugin
Este exploit es sumamente peligroso porque se ha publicado un Exploit para WP-Backup Plugin 2.2.4 escrito en Bash Script y que está disponible para descarga. El exploit permite descargar el backup completo de WordPress, realizado por el Plugin WP-Backup.
Cristian de la Redacción de Segu-Info
la otra es proteger con algunas medidas básicas de seguridad como la utilización de WPHardening.
ResponderBorrarsaludos