Delincuentes informáticos están aprovechando una vulnerabilidad crítica en el complemento WordPress Automatic, que permite la toma total del control de sitios web que lo utilizan. La brecha, identificada como CVE-2024-27956, fue revelada por investigadores de Patchstack y se clasifica con una gravedad de 9,9 sobre 10.
Detalles de la vulnerabilidad
La vulnerabilidad afecta las versiones 3.92.0 e inferiores del complemento WordPress Automatic, que es utilizado por más de 38.000 clientes de pago. Los atacantes pueden explotarla para inyectar código SQL y obtener privilegios elevados en el sistema. El desarrollador del complemento, ValvePress, publicó un parche silencioso en la versión 3.92.1.
Impacto de la vulnerabilidad
WPScan indicó que CVE-2024-27956 permite a los visitantes no autenticados crear cuentas de administrador, cargar archivos maliciosos y tomar el control total del sitio. Los atacantes pueden inyectar código SQL para obtener acceso elevado al sistema y luego instalar malware en el servidor.
Exploits disponibles
Los investigadores de Patchstack alertaron que ya existe un exploit público que permite tomar control del servidor a través de una shell reversa. Los ataques comenzaron poco después del 13 de marzo, 15 días después de la publicación de la versión parchada.
Actividad de ataque
WPScan reportó más de 5,5 millones de intentos de explotar la vulnerabilidad desde su divulgación el 13 de marzo. Los intentos alcanzaron su punto máximo el 31 de marzo. La empresa no proporcionó datos sobre cuántos intentos tuvieron éxito.
Proceso de ataque
- Inyección SQL (SQLi): Los atacantes aprovechan la vulnerabilidad para ejecutar consultas no autorizadas a bases de datos.
- Creación de usuarios administradores: Con privilegios elevados, los atacantes pueden crear cuentas de nivel administrador dentro de WordPress.
- Carga de malware: Una vez creada una cuenta de administrador, los atacantes pueden cargar archivos maliciosos al servidor del sitio comprometido.
- Cambio de nombre de archivos: El atacante puede cambiar el nombre del archivo vulnerable para evitar que otros accedan a él.
Consecuencias y persistencia
Una vez que un sitio se ve comprometido, los atacantes garantizan su persistencia mediante la instalación de puertas traseras y el ofuscado del código. También pueden cambiar el nombre del archivo vulnerable para dificultar su detección.
Recomendaciones
Los usuarios deben parchear inmediatamente el complemento WordPress Automatic. Además, deben analizar cuidadosamente sus servidores en busca de signos de explotación utilizando los indicadores de datos de compromiso.