Descubren un fallo en Wordpress después de seis años que podría afectar a miles de páginas web

• Una importante vulnerabilidad ha estado exponiendo miles de páginas web durante seis años sin que nadie lanzara ningún parche para solventar el incidente.
• Al parecer, cualquier usuario registrado de WordPress podía modificar las entradas asociadas con una imagen y establecerlas en valores arbitrarios. 
• Mediante este fallo, los ciberdelincuentes podrían ejecutar un código PHP arbitrario en el servidor subyacente, lo que permitiría a su vez tomar el control remoto de la web por completo.

Una inmensa mayoría de las páginas webs que visitamos a diario están construidas sobre el mismo gestor de contenidos: Wordpress. A su favor ha jugado siempre el hecho de ser gratuito, muy sencillo de personalizar, con muchos desarrolladores diseñando plantillas o extensiones de toda índole y su gran versatilidad. Pero hay un detalle que parece escapar a este ecuación idílica: la seguridad.

Son numerosos los agujeros de ciberseguridad que Wordpress ha tenido a lo largo de la historia, pero el caso que nos ocupa hace que salten todas las alarmas.

Y es que, como ha denunciado Ripstech, una importante vulnerabilidad ha estado exponiendo miles de páginas web durante seis años sin que nadie lanzara ningún parche para solventar el incidente. Además, no se trata de un agujero de seguridad cualquiera: los ciberdelincuentes podrían ejecutar código arbitrario en el servidor del site.

Leer más: Solo una de cada diez empresas invierte lo suficiente en ciberseguridad pese a que el 31% ni siquiera ha sido capaz de detectar un ciberataque

"Un atacante que obtenga acceso a una cuenta, con al menos privilegios de autor, en un sitio de WordPress podría ejecutar un código PHP arbitrario en el servidor subyacente, lo que permitiría a su vez tomar el control remoto de la web por completo", dicen los investigadores.

El error estaba en el sistema de administración de imágenes de WordPress, el cual gestiona las entradas 'Post Meta', que se utilizan para almacenar la descripción, el tamaño, el creador y otra información meta de las imágenes cargadas. Al parecer, cualquier usuario registrado de WordPress podía modificar las entradas asociadas con una imagen y establecerlas en valores arbitrarios.

Es lo que se conoce como "vulnerabilidad de trayectoria de ruta" e implica que el atacante tiene que haber obtenido previamente una cuenta registrada en el blog de WordPress a atacar. Eso, de alguna manera, reduce el nivel de amenaza en muchos casos.

Según los descubridores del agujero de seguridad, la ejecución de código no se pudo ejecutar a través de este fallo en las versiones de WordPress 5.0.1 y 4.9.9, ya que esta vulnerabilidad se corrigió sin querer cuando se introdujo un parche para paliar otro problema ajeno al que nos ocupa. Pero en otras versiones sigue existiendo esta incidencia ya que nunca ha sido parcheada apropiadamente.