350 000 sites WordPress potentiellement attaquables

Les pirates exploitent activement une vulnérabilité qui leur permet d'exécuter des commandes et des scripts malveillants sur des sites Web exécutant File Manager, un plugin WordPress avec plus de 700 000 installations actives. La nouvelle des attaques est arrivée quelques heures seulement après que la faille de sécurité ait été corrigée.

Les pirates utilisent cet exploit pour télécharger des fichiers contenant des webshells cachés dans une image. À partir de là, ils ont ensuite la possibilité d'exécuter des commandes dans plugins/wp-file-manager/lib/files/, le répertoire où réside le plugin File Manager. Bien que cette restriction empêche les pirates d'exécuter des commandes sur des fichiers en dehors du répertoire, les pirates peuvent causer davantage de dégâts en téléchargeant des scripts capables d'effectuer des actions sur d'autres parties d'un site vulnérable.

Comment se prémunir de problèmes de ce type ? Évidemment mettre à jour le logiciel dès que le patch est disponible, mais cela risque de ne pas suffire. C’est là qu’avoir un WAF (pare-feu d’application web) pour protéger votre site WordPress devient indispensable. La technologie « virtual patching » introduite par Cerbero (le pare-feu applicatif web de l'hébergeur actif sur tous les services) garantit la protection des sites WordPress même en l'absence de mise à jour logicielle.