Mensagens anteriores

Os utilizadores do WordPress com o plugin WP Automatic devem considerar atualizar o mais rapidamente possível o mesmo, tendo em conta a recente descoberta de uma falha de segurança que, quando explorada, pode comprometer a instalação do site.

O WP Automatic é um plugin premium, usado para automatizar a criação de conteúdos em sites WordPress, recolhendo os mesmos de diferentes fontes. O plugin permite importar texto, imagens e vídeos para artigos no WordPress.

No entanto, o mesmo foi recentemente descoberto com uma vulnerabilidade de segurança que, quando explorada pode permitir criar contas com privilégios administrativos. A falha foi classificada com uma gravidade de 9.9 em 10, tendo em conta que é bastante simples de explorar e pode levar a que o site fique inteiramente comprometido.

A falha foi descoberta pelos investigadores da PatchStack, a 13 de Março, e afeta todas as versões anteriores à 3.9.2.0 do plugin. Desde que a falha foi descoberta, mais de 5.5 milhões de tentativas de ataques a esta falha foram registadas pela entidade, a maioria no dia 31 de Março, o que indica que será uma falha conhecida dos atacantes e que está a ser ativamente explorada.

Os investigadores afirmam que, depois da falha ser explorada, os atacantes integram um backdoor no site para terem acesso ao mesmo, até se o plugin for removido ou modificado. Com este acesso, podem permanentemente alterar as configurações do site e as suas definições, criar novas contas de utilizador e alterar as publicações enviadas.

Os atacantes enviam e instalam ainda outros plugins no site, que são usados para editar os ficheiros fonte do mesmo e levar a que seja possível enviar ficheiros para o servidor onde o website se encontra.

Os utilizadores do WP Automatic são aconselhados a atualizarem para a versão 3.92.1 ou mais recente, que conta já com a correção para esta falha.