WordPress: novo 0-Day presente em plug-in

Uma vulnerabilidade Zero-Day (desconhecida) em um plug-in de comércio eletrônico para WordPress tem sido explorada por cibercriminosos para carregar backdoors para sites afetados.

O cenário ideal para hackers com fins lucrativos é encontrar e explorar falhas de segurança em plug-ins instalados em centenas de milhares ou milhões de websites. No entanto, tendo como alvo um grande número de aplicações menos populares também pode ser rentável.

Um bom exemplo é o WP-Marketplace, um carrinho de compras/e-commerce para WordPress instalado em menos de 500 websites.

O WP-Marketplace não é mais mantido, o que significa que as vulnerabilidades não serão susceptíveis de serem corrigidas.

Na semana passada, pesquisadores da White Fir Design começaram a ver requisições a um arquivo associado com o WP-Marketplace. Eles rapidamente determinaram que os atacantes estavam provavelmente tentando encontrar sites que executam o "plug-in", em um esforço para explorar uma vulnerabilidade de "upload" de arquivos arbitrários.

A Sucuri também observou tentativas de ataque desta natureza. De acordo com a empresa de segurança, os criminosos estão explorando uma vulnerabilidade para carregar uma backdoor.

O WP-Marketplace foi removido na semana passada do Diretório Oficial de Plug-In do WordPress.

A White Fir projeto apontou que os desenvolvedores deste "plug-in" também oferecem vários outros, incluindo o WordPress Download Manager, que tem dezenas de milhares de instalações ativas. No entanto, a segurança não parece ser uma prioridade. Uma falha de upload de arquivos descoberta pela White Fir Design quase 4 meses atrás no WordPress Download Manager ainda está sem correção!

Sites de comércio eletrônico são cada vez mais alvo de cibercriminosos. Especialistas descobriram recentemente milhares de lojas on-line comprometidos criado para roubar informações de cartão de pagamento dos usuários.