Tenemos constancia de que se ha reportado una vulnerabilidad sobre un plugin de WordPress, concretamente sobre WP File Manager.
Este plugin permite acceder al sistema de archivos del hosting y a través de dicha vulnerabilidad permitía al intruso subir archivos con código malicioso con el que potencialmente podría hacer envíos de SPAM, robar datos o incluso modificar/eliminar el sitio web.
Afortunadamente a las pocas horas se ha lanzado un parche/actualización del plugin que soluciona el problema.
Es importante aclarar que a pesar de tener ese plugin la mayoría de sitios no se han visto afectados.
Por nuestra parte hemos realizado lo siguiente:
- Se han detectado los archivos con código malicioso que se ha subido mediante este plugin y se han eliminado.
- Hemos parcheado con la actualización de seguridad todos los plugin WP File Manager de los WordPress alojados con nosotros.
- Se han creado scripts y reglas para la comprobación diaria de posibles nuevos hackeos de este tipo.
Se recomienda a todos los desarrolladores y usuarios que trabajan con CMS de este tipo que mantengan tanto sus aplicaciones como plugins, temas, etc. actualizadas y que todos los complementos sean descargados de webs oficiales o de desarrolladores de aplicaciones, evitando descargas desde foros u otras webs sospechosas que puedan ofrecer plugins/temas de pago de forma gratuita.