Una vulnerabilità critica in Bricksforge per WordPress sta esponendo migliaia di siti a un rischio elevatissimo: l'esecuzione di codice da remoto (RCE). Questa falla di sicurezza, identificata come CVE-2024-25137, ha ricevuto il massimo punteggio di gravità, un CVSS di 10.0.

Cosa significa? Un malintenzionato potrebbe prendere il controllo completo del tuo sito web senza nemmeno doversi autenticare.

Vediamo insieme di cosa si tratta e, soprattutto, come puoi difenderti.

Cos'è Bricksforge in WordPress e perché questa vulnerabilità è così pericolosa?

Bricksforge è un popolare add-on per Bricks Builder, uno strumento molto amato per la creazione di siti WordPress. Aggiunge funzionalità avanzate come form complessi, animazioni e gestione di dati dinamici. Il cuore del problema risiede proprio nella gestione del processo di upload dei file tramite i suoi moduli di contatto. La pericolosità di questa falla è estrema.

Un utente non autenticato può sfruttarla per caricare un file PHP malevolo sul tuo server e poi eseguirlo. Da quel momento, le possibilità per l'attaccante sono infinite:

• Installare una web shell per avere accesso persistente al sito.
• Modificare i contenuti delle tue pagine o rubare dati sensibili.
• Reindirizzare i tuoi visitatori verso siti di phishing o malware.
• Utilizzare il tuo server per lanciare altri attacchi.

In parole semplici, è come lasciare la porta di casa non solo aperta, ma con un invito scritto per i ladri.

Come funziona l'attacco in dettaglio

Per capire come proteggersi, è utile comprendere il meccanismo dell'attacco e conoscere gli attacchi simili avvenuti in passato. Gli hacker hanno scoperto un modo per aggirare i controlli di sicurezza del plugin.

Il processo di upload ingannato

L'attacco si svolge in due fasi. Inizialmente, l'hacker carica un file che si presenta come un'immagine innocua, ad esempio un file .gif. Il plugin esegue un primo controllo sul tipo di file (MIME type) e, riconoscendolo come immagine, lo accetta e lo salva in una cartella temporanea.

Il problema sorge nella seconda fase. L'hacker invia una richiesta di sottomissione del modulo creata ad hoc. In questa richiesta, specifica il percorso del file "immagine" appena caricato, ma indica una destinazione finale con estensione .php. Il plugin, fidandosi delle informazioni fornite, sposta il contenuto del file (che include codice PHP malevolo) nella nuova posizione con la nuova estensione. A questo punto, all'hacker basta visitare l'URL del file per eseguire il codice e compromettere il sito.

L'automazione degli attacchi

Le analisi dei ricercatori di sicurezza, come Patchstack, mostrano che questi tentativi di attacco sono altamente automatizzati. Sono stati registrati exploit provenienti da decine di indirizzi IP diversi, spesso a pochi secondi di distanza l'uno dall'altro. Questo indica una campagna diffusa che mira a colpire il maggior numero possibile di siti vulnerabili.

Stai usando Bricksforge in WordPress? Ecco come proteggerti da questa vulnerabilità

Se utilizzi Bricksforge nel tuo sito in WordPress, la tua priorità assoluta è agire immediatamente contro questa vulnerabilità. Non attendere di notare comportamenti anomali sul tuo sito, perché a quel punto potrebbe essere già troppo tardi.

Aggiornamento immediato: la prima linea di difesa

La soluzione è semplice e diretta: aggiornare il plugin. Gli sviluppatori hanno già rilasciato le patch correttive.

La falla di sicurezza riguarda tutte le versioni di Bricksforge fino alla 3.1.8.9 inclusa. Aggiorna immediatamente alla versione 3.1.8.10 o successiva.

Il team ha rilasciato anche una correzione per i Pro Forms nella versione 4.0.1. Si raccomanda l'aggiornamento anche se non usi moduli con campi di upload. Non rimandare questo passaggio. È il modo più efficace per chiudere la porta agli aggressori.

Verifica e pulizia del sito: cosa cercare

Se temi che il tuo sito sia già stato compromesso o vuoi fare un controllo di sicurezza, ecco alcuni passaggi da seguire:

• Ispeziona i log del server: cerca richieste sospette, in particolare verso /wp-json/bricksforge/v1/form_submit.
• Controlla le cartelle di upload: esamina attentamente la cartella /wp-content/uploads/bricksforge/tmp/ e altre directory di upload alla ricerca di file PHP inaspettati o file con nomi strani.
• Scansiona il tuo sito: utilizza un plugin di sicurezza affidabile per eseguire una scansione completa alla ricerca di malware e file sospetti.

La vulnerabilità di Bricksforge in WordPress nel contesto globale

Questo incidente non è un caso isolato. Sottolinea ancora una volta un punto cruciale nella gestione di un sito WordPress: la gestione delle vulnerabilità.

I plugin, per quanto utili, possono diventare punti deboli se non vengono mantenuti aggiornati. Le falle di sicurezza legate all'upload di file sono comuni e pericolose perché offrono una via d'accesso diretta al server.

La lezione è chiara: mantieni sempre il core di WordPress, i temi e i plugin aggiornati all'ultima versione. La sicurezza informatica non è un'attività da fare una tantum, ma un processo continuo di vigilanza e manutenzione.

L'articolo Vulnerabilità Bricksforge WordPress e come proteggere il tuo sito proviene da sicurezza.net.