Il 6 novembre 2024 è stata identificata e successivamente divulgata una delle vulnerabilità di sicurezza più critiche su plugin del CMS WordPress mai identificate. La vulnerabilità, divulgata come CVE-2024-10924, riguarda il plugin Really Simple Security, in tutte le sue versioni.
Vediamo di cosa si tratta e cosa fare per mettersi in sicurezza.
La vulnerabilità CVE-2024-10924 ha un punteggio di gravità CVSS pari a 9.8 d è estremamente critica perché permette a un attaccante, anche senza eccessive competenze o strumenti specifici, di bypassare l’autenticazione a due fattori (2FA) e ottenere da remoto l’accesso amministrativo completo a un sito web che utilizza WordPress ed esegue il plugin.
Identificata dal ricercatore István Márton di Wordfence, questa falla, causata da una gestione errata dell’autenticazione e da un’implementazione insicura delle funzioni API REST, espone a rischi di sicurezza oltre 4 milioni di siti web che utilizzano il plugin Really Simple Security.
“Questa è una delle vulnerabilità più gravi che abbiamo segnalato nei nostri 12 anni di storia come fornitore di sicurezza per WordPress” ha specificato Márton.
Sebbene l’autenticazione a due fattori sia disabilitato di default, molti amministratori lo attivano per rafforzare la sicurezza, ignari del rischio associato a questa vulnerabilità.
Ad incrementare la pericolosità ed il potenziale sfruttamento su larga scala della vulnerabilità c’è il fatto che il suo sfruttamento è automatizzabile.
Il fornitore del Plugin, Really Simple Security, ha prontamente provveduto a render disponibile un aggiornamento della versione del plugin, 9.1.2, per patchare le cause di tale vulnerabilità e, data la particolare criticità e gravita degli effetti di un acceso amministrativo non autorizzato, ha anche attivato una collaborazione con WordPress.org per forzare un aggiornamento alla versione patchata, per tutti i siti che utilizzano una versione vulnerabile del plugin.
Invitiamo tuttavia tutti gli utenti WordPress che utilizzano il plugin Really Simple Security a verificare che la versione del plugin sia stata aggiornata alla 9.1.2 o eventuali versioni successive qualora rese disponibili.
Qualora l’aggiornamento non sia stato già effettuato si consiglia di:
Consigliamo inoltre di verificare che tutti gli altri eventuali plugin e i temi installati siano aggiornati all’ultima versione disponibile, provvedendo ove necessario al loro aggiornamento ed all’attivazione anche per essi della funzionalità di aggiornamento automatico.
Le vulnerabilità di sicurezza sono all’ordine del giorno nel mondo del software: anche i plugin più popolari e affidabili possono presentare bug critici che mettono a rischio i siti web. La soluzione più efficace per superare questi problemi è mantenere cms e plugin costantemente aggiornati all’ultima versione disponibile, riducendo così al minimo le possibilità di attacchi.
Con l’Hosting WordPress Gestito di Register.it, non dovrai più preoccuparti di aggiornare plugin e le altre componenti del tuo sito: i nostri esperti si occuperanno di tutto, garantendo che il tuo sito web sia sempre aggiornato e protetto.
Grazie al monitoraggio continuo e agli aggiornamenti automatici, il servizio di Hosting WordPress Gestito ti permette di concentrarti sulla crescita del tuo progetto online senza il timore di falle di sicurezza e mancati aggiornamenti.
Leggi anche “Hosting WordPress vs WordPress gestito“
Per maggiori dettagli sulla vulnerabilità CVE-2024-10924, vi invitiamo a consultare i seguenti link:
https://nvd.nist.gov/vuln/detail/CVE-2024-10924
https://www.wordfence.com/blog/2024/11/really-simple-security-vulnerability/
CISO Southern Europe team.blue. Si occupa di Sviluppo, implementazione e mantenimento di politiche e programmi di gestione della compliance e della sicurezza aziendale.
Arriva il.pay, il nuovo gTLD dedicato al mondo dei pagamenti digitali e dell'e-commerce. Scopri i vantaggi della fase Sunrise e…
Dalle risposte alle azioni: come Gemini Spark e le nuove funzioni di ricerca trasformeranno il modo in cui viviamo e…
Strumenti e metodi pratici per individuare il provider di hosting, analizzare l’infrastruttura tecnica e prendere decisioni più consapevoli per il…
Dalla gestione delle attività quotidiane alla visione strategica: come trasformare il tuo server in un centro di comando intelligente. L'articolo…
Dall’uso dell’intelligenza artificiale ai domini sospetti: i numeri confermano un’impennata dei rischi informatici a poche settimane dal calcio d’inizio. Con…
Scopri come i criminali informatici sfruttano gli inviti .ics per superare le difese e rubare i dati di accesso a…
Il sito utilizza cookie di profilazione propri e di terze parti. Se prosegui nella navigazione selezionando un elemento del sito, acconsenti all'uso dei cookie.
APPROFONDISCI