Vulnerabilidade no WordPress ameaça sites em todo o mundo

A maior plataforma usada para fazer websites, o WordPress, está sob séria vulnerabilidade. A revelação foi feita pela Hostnet. A falha permite que um único computador gere um ataque de DoS (quando um site é derrubado por excesso de acesso) em sites desenvolvidos na plataforma, colocando em risco milhões de páginas em todo o mundo.

Para se ter ideia, de acordo com a W3Techs, empresa especializada em pesquisas sobre a web, o WordPress é usado como plataforma on-line por 29,4% de todos os sites que estão no ar no mundo. Esses portais estão vulneráveis em razão de uma falha “ingênua” no sistema da plataforma. A própria equipe do WordPress reconheceu a falha e argumenta que o problema deva ser tratado no nível do servidor da rede.

A vulnerabilidade, encontrada pelo pesquisador israelense, Barak Tawily, possibilita que se tire proveito de um script interno do WordPress, o load-scripts.php. Esse script permite que várias requisições sejam feitas de uma vez só (o chamado ataque DDoS) por qualquer um, sem autenticação. O resultado final disso seria uma completa paralisação de sites e em alguns casos de provedores inteiros.

Risco para provedores

Um ataque como esse, do tipo Denial of Service, ou Negação de Serviço (DoS) consiste em causar lentidão ou indisponibilidade em um site na internet. Nesse caso, o site recebe um número imenso de requisições, muito maior do que a sua infraestrutura pode suportar, e o site trava.

Mitigação

Em princípio, a lógica seria pensar que a última versão do WordPress lançada no dia 6 de fevereiro (4.9.4) resolveria tudo. Mas não é bem assim, segundo a Hostnet. Na nova versão o script pode lidar com requisições que contenham até 40 arquivos em sequência; isso diminui, mas não resolve o problema, um servidor que contenha várias instâncias do WordPress, ou tenha um WordPress configurado para gerenciar vários sites, ainda pode ser vítima desse ataque. Uma vez que o criminoso pode fazer requisições para todas essas instâncias do WordPress, e assim paralisar o servidor da mesma maneira.

De acordo com a Hostnet, a equipe de desenvolvimento do WordPress foi notificada da falha, mas até agora não apresentou uma correção para o problema, ou uma nova versão do Sistema Gerenciador de Conteúdo com a correção implementada.

O pesquisador que descobriu a vulnerabilidade liberou uma correção para ser implementada pelos usuários do WordPress, que está disponível a todos.

A Hostnet informa que seu time teve acesso à correção proposta pelo pesquisador israelense, mas se empenhou na busca de uma solução alternativa, desenvolvida a partir da original, que resolve o problema para qualquer versão do WordPress.

Assim, a Hostnet rodou scripts para aplicação de um antídoto a esta falha de segurança. Implementando, em todos os seus servidores que contém o WordPress, uma solução eficaz. Todos os clientes da empresa estão totalmente imunes contra possíveis ataques de negação de serviço. A Hostnet informa que está segura. Entretanto, a grande maioria dos sites em WordPress da rede mundial continuam vulneráveis.